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Beschreibung 

Verfahren und Anordnung zum rechnerges tut zten Austausch kryp- 
tographischer Schlussel zwischen einer ersten Computereinhei t 
5 und einer zweiten Computereinheit 

Die Erfindung betrifft den rechnergestut zten Austausch kryp- 
tographischer Schlussel zwischen einer ersten Computereinheit 
und einer zweiten Computereinheit. 

10 

Informationstechnische Systeme unterliegen verschiedenen Be- 
drohungen. So kann z.B. ubertragene Information von einem un- 
befugten Dritten abgehort und verandert werden. Eine weitere 
Bedrohung bei der Kommunikation zweier Kommunikationspartner 
15 liegt in der Vorspiegelung einer falschen Identitat eines 
Kommunikationspartners . 



Diesen und weiteren Bedrohungen wird durch verschiedene Si- 
cherheitsmechanismen, die das informationstechnische System 

20 vor den Bedrohungen schutzen sollen, begegnet. Ein zur Siche- 
rung verwendeter Sicherheitsmechanismus ist die Verschlusse- 
lung der ubertragenen Daten. Damit die Daten in einer Kommu- 
nikationsbeziehung zwischen zwei Kommunikationspartnern ver- 
schlusselt werden konnen, mussen vor der Obertragung der ei- 

25 gentlichen Daten zuerst Schritte durchgefuhrt werden, die die 
Verschlusselung vorbereiten. Die Schritte konnen z.B. darin 
bestehen, dafi sich die beiden Kommunikationspartner auf einen 
Verschlusselungsalgorithmus einigen und dali ggf . die gemein- 
samen geheimen Schlussel vereinbart werden. 

30 

Besondere Bedeutung gewinnt der Sicherheitsmechanismus der 
Verschlusselung bei Mobilf unksystemen, da die ubertragenen 
Daten in diesen Systemen von jedem Dritten ohne besonderen 
zusatzlichen Auf wand abgehort werden konnen. 



Dies fuhrt zu der Anforderung, eine Auswahl bekannter Sicher- 
heitsmechanismen so zu treffen und diese Sicherheitsmechanis- 
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men geeignet zu kombinieren, sowie Kommunikationsprotokolle 
zu spezif izieren, dafi durch sie die Sicherheit von informati- 
onstechnischen Systemen gewahrleistet wird. 

5 Es sind verschiedene asymmetrische Verfahren zum rechnerge- 
stiitzen Austausch kryptographischer Schlussel bekannt. 

Asymmetrische Verfahren, die geeignet sind fur Mobilfunksy- 
steme, sind in [1], [2], [3] und [4] beschrieben. 

10 

Das in [1] beschriebene Verfahren bezieht sich ausdrticklich 
auf lokale Netzwerke und stellt hohere Rechenleistungsanf or- 
derungen an eine Computereinheit eines Kommunikationspartners 
wahrend des Schliisselaustauschs . Aufierdem wird in dem Verfah- 
15 ren mehr Obertragungskapazitat benotigt als bei dem erfin- 
dungsgemalien Verfahren, da die Lange der Nachrichten groBer 
ist als bei der Erfindung. 

Das in [2] beschriebene Verfahren hat einige grundlegende Si- 

20 cherheitsziele nicht realisiert. Die explizite Authentif ika- 
tion des Netzes durch den Benutzer wird nicht erreicht. Au- 
lierdem wird ein vom Benutzer an das Netz ubertragener Schlus- 
sel vom Netz nicht an den Benutzer bestatigt. Auch eine Zusi- 
cherung der Frische (Aktualitat) des Schlussels fur das Netz 

25 ist nicht vorgesehen. Ein weiterer Nachteil dieses Verfahrens 
besteht in der Beschrankung auf das Rabin-Verf ahren bei der 
impliziten Authentif izierung des Schlussels durch den Benut- 
zer, Dies schrankt das Verfahren in einer flexibleren Anwend- 
barkeit ein. AuUerdem ist kein Sicherheitsmechanismus vorge- 

30 sehen, der die Nichtabstreitbarkeit von tibertragenen Daten 
gewahrleistet. Dies ist ein erheblicher Nachteil vor allem 
auch bei der Erstellung unanf echtbarer Gebtihrenabrechnungen 
fur ein Mobilf unksystem. Auch die Beschrankung des Verfahrens 
auf den National Institute of Standards in Technology Signa- 

35 ture Standard (NIST DSS) als verwendete Signatur f unktion 

schrankt das Verfahren in seiner allgemeinen Verwendbarkeit 
ein . 
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Das in [3] beschriebene Verfahren hat ein grundlegendes Si- 
cherheitsziel nicht realisiert: Die explizite Authentif ikati- 
on des Benutzers durch das Netz wird nicht erreicht. 

Das in [4] beschriebene Verfahren basiert auf der Annahme der 
Existenz von gemeinsamen geheimen Schlusseln sowohl zwischen 
Benutzer und besuchtem Netz als auch zwischen Benutzer und 
Heimatnetz vor Beginn eines Protokollauf s . Diese Annahme ist 
fur viele Einsatzfalle zu einschrankend. 

Ferner ist ein Verfahren zuirTsicheren Datenaustausch zwischen 
vielen Teilnehmern unter Mitwirkung einer Zertif izierungsin- 
stanz aus [5] bekannt. Das bei diesem Verfahren verwendete 
Protokoll weist eine Zufallszahl, eine Identitatsangabe sowie 
einen offentlichen Schltissel und einen Sitzungsschliissel auf. 
Grundlegende Sicherheitsziele werden jedoch bei diesem Ver- 
fahren nicht realisiert. 

Weiterhin ist ein Verfahren fur eine PC-PC-Kommunikation un- 
ter Mitwirkung eines Trust-Centers aus [6] bekannt. 

Aus [7] ist ein Verfahren bekannt, bei dem unter Verwendung 
sowohl eines offentlichen als auch eines geheimen Schlussels 
sowie unter Verwendung einer Zufallszahl ein Sitzungsschliis- 
sel erzeugt wird. Dieser wird mit einem offentlichen Schlus- 
sel verkniipft. 

Weiterhin ist in [8] ein Verfahren beschrieben, bei dem eine 
Benutzereinheit sich gegenuber einer Netzeinheit identifi- 
ziert. Anschlieflend findet unter Anwendung einer Hash- 
Funktion zwischen der Benutzereinheit und der Netzeinheit ein 
Authentif izierungsprozeB statt. 

Weitere sichere Kommunikationsprotokolle, die aber wesentli- 
che grundlegende Sicherheitsziele nicht realisieren, sind aus 
[9] bekannt. 



98 P 1764 



4 



Aus [10] ist es bekannt, daB in einer ersten Computereinhei t 
aus einer ersten Zufallszahl mit Hilfe eines erzeugenden Ele- 
ments einer endlichen Gruppe ein erster Wert gebildet wird, 
der zu einer zu einer zweiten Computereinheit ubertragen 
wird. In der zweiten Computereinheit wird ein Sitzungsschliis- 
sel gebildet durch Hash-Wert-Bildung des ersten Werts, der 
mit einem geheimen Netzschlussel exponiert wird. In der er- 
sten Computereinheit wird ebenfalls der Sitzungsschlussel ge- 
bildet, dort jedoch durch Hash-Wert-Bildung eines offentli- 
chen Netzschltissels, der mit der ersten Zufallszahl exponiert 
wird. Ferner wird dort ein Hash-Wert iiber den Sitzungsschlus- 
sel gebildet und der Hash-Wert wird digital signiert. Der 
sich ergebende Signatuterm wird zu der zweiten Computerein- 
heit ubertragen und dort verifiziert. 

Das in [11] beschriebene Verfahren erreicht die wesentlichen 
Sicherheitsziele, jedoch mit einem hoheren Aufwand an Rechen- 
leistung und Obertragungskapazitat . 

Asymmetrische Verfahren beruhen im wesentlichen auf zwei Pro- 
blemen der Komplexitatstheorie, dem Problem zusammengesetzte 
Zahlen effizient zu f aktorisieren, und dem diskreten Log- 
arithmusproblem (DLP) . Das DLP besteht darin, daB in geeigne- 
ten Rechenstrukturen zwar Exponentiationen effizient durchge- 
ftthrt werden konnen, dafi jedoch fur die Umkehrung dieser Ope- 
ration, das Logarithmieren, keine effizienten Algorithmen be- 
kannt sind. 

Solche Rechenstrukturen sind z.B. unter den oben bezeichneten 
endlichen Gruppen zu verstehen. Diese sind z.B. die mul- 
tiplikative Gruppe eines endlichen Korpers (z.B. Multiplizie- 
ren Modulo p, wobei p eine grofie Primzahl ist), oder auch so- 
genannte "elliptische Kurven" . Elliptische Kurven sind vor 
allem deshalb interessant, weil sie bei gleichem Sicher- 
heitsniveau wesentliche kurzere Sicherheitsparameter erlau- 
ben. Dies betrifft die Lange der offentlichen Schlussel, die 
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Lange der Zertif ikate, die Lange der bei der Sitzungsschltis- 
selvereinbarung auszutauschenden Nachrichten sowie die Lange 
von digitalen Signaturen, die jeweils im weiteren beschrieben 
werden. Der Grund dafiir ist, dafi die fur elliptische Kurven 
bekannten Logari thmierverf ahren wesentlich weniger effizient 
sind als die fur endliche Korper. 

Eine grofie Primzahl in diesem Zusammenhang bedeutet, da/5 die 
Grofie der Primzahl so gewahlt werden mufi, dafi die Logarith- 
mierung so aufwendig ist, dafi sie nicht in vertretbarer Zeit 
durchgefiihrt werden kann. Vertretbar bedeutet in diesem Zu- 
sammenhang einen Zeitraum entsprechend der Sicherheitspolitik 
von mehreren Jahren bis Jahrzehnten und langer. 

Unter einer Hash-Funktion ist in diesem Zusammenhang eine 
Funktion zu verstehen, bei der es nicht moglich ist, zu einem 
gegebenen Funktionswert einen passenden Eingangswert zu be- 
rechnen. Ferner wird einer beliebig langen Eingangszeichen- 
folge eine Ausgangszeichenf olge fester Lange zugeordnet. Des 
weiteren konnen fur die Hash-Funktion zusatzliche Eigen- 
schaften gefordert werden. Eine solche zusatzliche Eigen- 
schaft ist Kollisionsfreiheit, d.h. es darf nicht moglich 
sein, zwei verschiedene Eingangszeichenf olgen zu finden, die 
dieselbe Ausgangszeichenf olge ergeben. 

Der Erfindung liegt das Problem zugrunde, ein vereinf achtes 
Verfahren zum rechnergestutzten Austausch kryptographischer 
Schliissel anzugeben, das nicht die Existenz gemeinsamer ge- 
heimer Schliissel voraussetzt. 

Dieses Problem wird durch das Verfahren gemafi Patentanspruch 
1 sowie durch die Anordnung gemafi Patentanspruch 29 gelost. 

Bei dem Verfahren wird aus einer ersten Zufallszahl mit Hilfe 
eines erzeugenden Elements einer endlichen Gruppe in der er- 
sten Computereinheit ein erster Wert gebildet. Eine erste 
Nachricht wird von der ersten Computereinheit an die zweite 
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Computereinheit iibertragen, wobei die ersten Nachricht minde- 
stens den ersten Wert aufweist. In der zweiten Computerein- 
heit wird ein Sitzungsschlussel mit Hilfe einer ersten Hash- 
Funktion gebildet wird, wobei eine erste Eingangsgrofie der 
ersten Hash-Funktion mindestens einen ersten Term aufweist, 
der gebildet wird durch eine Exponentiation des ersten Werts 
mit einem geheimen Netzschliissel . In der ersten Computerein- 
heit wird der Sitzungsschlussel gebildet mit Hilfe der ersten 
Hash-Funktion, wobei eine zweite Eingangsgrofie der ersten 
Hash-Funktion mindestens einen zweiten Term aufweist, der ge- 
bildet wird durch eine Exponentiation eines offentlichen 
Netzschltissels mit der ersten Zufallszahl. In der ersten Com- 
putereinheit wird mit Hilfe einer zweiten Hash-Funktion oder 
der ersten Hash-Funktion eine vierte Eingangsgrofie gebildet, 
wobei eine dritte EingangsgrSfie fur die erste Hash-Funktion 
oder fur die zweite Hash-Funktion zur Bildung der vierten 
Eingangsgrofie eine oder weitere Groflen aufweist, aus denen 
auf den Sitzungsschlussel eindeutig riickgeschlossen werden 
kann. In der ersten Computereinheit wird ein Signaturterm aus 
mindestens der vierten Eingangsgrofie gebildet wird unter An- 
wendung einer ersten Signaturf unktion . Eine dritte Nachricht 
wird von der ersten Computereinheit an die zweite Compu- 
tereinheit iibertragen, wobei die dritte Nachricht mindestens 
den Signaturterm der ersten Computereinheit aufweist. In der 
zweiten Computereinheit wird der Signaturterm verifiziert. 

Bei der Anordnung sind die erste Computereinheit und die 
zweite Computereinheit derart eingerichtet sind, dafi folgende 
Verfahrensschritte durchfiihrbar sind: 

- aus einer ersten Zufallszahl wird mit Hilfe eines erzeugen- 
den Elements einer endlichen Gruppe in der ersten Compu- 
tereinheit ein erster Wert gebildet, 

- eirie erste Nachricht wird von der ersten Computereinheit an 
die zweite Computereinheit iibertragen, wobei die erste 
Nachricht mindestens den ersten Wert aufweist, 

- in der zweiten Computereinheit wird ein Sitzungsschlussel 
mit Hilfe einer ersten Hash-Funktion gebildet, wobei eine 
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erste Eingangsgrofie der ersten Hash-Funktion mindestens ei- 
nen ersten Term aufweist, der gebildet wird durch eine Ex- 
ponentiation des ersten Werts mit einem geheimen Netz- 
schliissel, 

- in der ersten Computereinheit wird der Sit zungsschlussel 
gebildet mit Hilfe der ersten Hash-Funktion, wobei eine 
zweite Eingangsgrofie der ersten Hash-Funktion mindestens 
einen zweiten Term aufweist, der gebildet wird durch eine 
Exponentiation eines offentlichen Netzschlussels mit der 
ersten Zufallszahl, 

- in der ersten Computereinheit wird mit Hilfe einer zweiten 
Hash-Funktion oder der ersten Hash-Funktion eine vierte 
Eingangsgrofie gebildet wird, wobei eine dritte Eingangsgro- 
fie fur die erste Hash-Funktion oder fur die zweite Hash- 
Funktion zur Bildung der vierten Eingangsgrofie eine oder 
weitere Grofien aufweist, aus denen auf den Sit zungsschlus- 
sel eindeutig ruckgeschlossen werden kann. 

- in der ersten Computereinheit wird ein Signaturterm aus 
mindestens der vierten Eingangsgrofie gebildet unter Anwen- 
dung einer ersten Signatur f unktion, 

- eine dritte Nachricht wird von der ersten Computereinheit 
an die zweite Computereinheit ubertragen, wobei die dritte 
Nachricht mindestens den Signaturterm der ersten Compu- 
tereinheit aufweist, und 

- in der zweiten Computereinheit wird der Signaturterm veri- 
f iziert . 

Die durch die Erfindung erreichten Vorteile liegen vor allem 
in einer erheblichen Reduktion der Lange der ubertragenen 
Nachrichten und in der Realisierung weiterer Sicherhei tszie- 
le. 

Die Erfindung ist aufierdem sehr leicht an unterschiedliche 
Anforderungen anpafibar, da es sich nicht auf bestimmte Algo- 
rithmen fur Signaturbildung und Verschlusselung beschrankt. 
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Vorteilhafte Weiterbildungen der Erfindung ergeben sich aus 
den abhangigen Anspriichen. 

In einer Weiterbildung ist es vorgesehen, einen langlebigen 
geheimen Netzschlussel und einen langlebigen of f entlichen 
Netzschlussel einzusetzen. 

Unter einem langlebigen Schlussel ist im weiteren ein Schliis- 
sel zu verstehen, der fur mehrere Protokollauf e eingesetzt 
wird. 

Durch die Erfindung und ihre Weiterbildungen werden folgende 
Sicherheitsziele realisiert: 

- Gegenseitige explizite Authentif izierung von dem Benutzer 
und dem Netz, d.h. die gegenseitige Verif izierung der be- 
haupteten Identitat, 

- Schliisselvereinbarung zwischen dem Benutzer und dem Netz 
mit gegenseitiger impliziter Authentif izierung, d.h., daB 
durch das Verfahren erreicht wird, daB nach AbschluB der 
Prozedur ein gemeinsamer geheimer Sitzungsschlussel zur 
Verfugung steht, von dem jede Partei weifi, daB nur das au- 
thentische Gegeniiber sich ebenfalls im Besitz des geheimen 
Sitzungsschliissels befinden kann, 

- Zusicherung der Frische (Aktualitat) des Sitzungsschlussels 
fiir den Benutzer, 

- gegenseitige Bestatigung des Sitzungsschlussels von dem Be- 
nutzer und dem Netz, d.h. die Bestatigung, daB das Gegen- 
iiber tatsachlich im Besitz des vereinbarten geheimen Sit- 
zungsschlussels ist. 

Auf diese Sicherheitsziele beziehen sich auch die folgenden 
vorteilhaften Weiterbildungen des Verfahrens. 

In einer Weiterbildung wird zusatzlich in der ersten Compu- 
tereinheit ein vertrauenswiirdiger offentlicher Benutzer- 
schliissel der ersten Computereinheit z.B. in Form eines Be- 
nutzerzertifikats verfiigbar gemacht und in der zweiten Compu- 
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tereinheit wird ein vertrauenswurdiger of f entlicher Netz- 
schlussel der zweiten Computereinheit z.B. in Form eines 
Netzzertif ikats verfUgbar gemacht . Der offentliche Netz- 
schlussel mufi bei dieser Weiterbildung nicht in der ersten 
Computereinheit verfiigbar sein. 

In einer weiteren Ausgestaltung ist es nicht notig, da/5 der 
offentliche BenutzerschlUssel in der zweiten Computereinheit 
verfiigbar ist. 

Gemafi einer weiteren Ausgestaltung ist in der ersten Compu- 
tereinheit kein vertrauenswurdiger c-ff entlicher Netzschlussel 
der zweiten Computereinheit erf orderlich . In der ersten Com- 
puterenheit ist ein vertrauenswurdiger bffentlicher Zertifi- 
zierungsschlUssel der Zertif izierungscomputereinheit verfUg- 
bar. Dies bedeutet, dafi die erste Computereinheit sich den 
vertrauenswurdigen offentlichen Netzschlussel in Form eines 
Netzzertifikats von einer Zertif izierungscomputereinheit 
"besorgen" mufi. Ebenso braucht die zweite Computereinheit den 
vertrauenswurdigen offentlichen BenutzerschUssel in Form ei- 
nes Benutzerzertifikats von der Zertif izierungscomputerein- 
heit . 



Durch die Weiterbildungen der Erfindung gemafi den Patentan- 
spruchen 13, 15 und 20 wird das Sicherheitsziel der Benutzer- 
anonymitat realisiert, d.h. die Vertraulichkeit der Identitat 
des Benutzers gegenUber Dritten. 

Die Weiterbildung des erf indungsgemafien Verfahrens gemafi Pa- 
tentanspruch 15 ermoglicht die Verwendung von temporaren Be- 
nutzeridentitaten. 



Durch die Weiterbildung des Verfahrens gemafi Patentanspruch 
16 wird vor allem eine zusatzliche Authentif izierung der 
zweiten Computereinheit gegenUber der ersten Computereinheit 
gewahrleistet . 
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Durch die Weiterbildung gemafi Patentanspruch 18 wird das Si 
cherheitsziel der Zusicherung der Frische (Aktualitat) des 
Sitzungsschliissels far das Netz realisiert. 

Durch die Weiterbildung gemafi Patentanspruch 21 wird zusatz 
lich das Sicherheitsziel der Nichtabstreitbarkeit von Daten 
realisiert, die vom Benutzer an das Netz gesendet wurden. 

Die Zeichnungen stellen bevorzugte Ausfuhrungsbeispiele der 
Erfindung dar, die im folgenden naher beschrieben werden. 

Es zeigen 

Figur 1 ein Ablauf diagramm, das ein erstes Ausf tihrungsbei- 

spiel des Verfahrens mit einigen Weiterbildungen dar 
stellt; 

Figur 2 ein Ablaufdiagramm, das ein zweites Ausf uhrungsbei- 
spiel des Verfahrens mit einigen Weiterbildungen dar 
stellt; 

Figuren 3 ein Ablaufdiagramm, das ein drittes Ausfiihrungsbei 
spiel des Verfahrens mit einigen Weiterbildungen dar 
stellt; 

Erstes Ausf uhrungsbei spiel 

In Figur 1 ist durch eine Skizze der Ablauf des Verfahrens 
dargestellt. Das Verfahren betrifft den Austausch kryptogra- 
phischer Schliissel zwischen einer ersten Computereinheit U 
und einer zweiten Computereinheit N, wobei unter der ersten 
Computereinheit U eine Computereinheit eines Benutzers eines 
Mobil funknetzes zu verstehen ist und unter einer zweiten Com 
putereinheit N eine Computereinheit des Netzbetreibers eines 
Mobilfunksystems zu verstehen ist. 

Fur das Verfahren wird vorausgesetzt, dafi in der ersten Com- 
putereinheit U ein vertrauenswurdiger offentlicher Netz- 
schliissel g s der zweiten Computereinheit N verfiigbar ist und 
dafi in der zweiten Computereinheit N ein vertrauenswurdiger 



98 P 1764 



11 

of fentlicher Benutzerschltissel KU der ersten Computereinheit 
U verfiigbar ist, wobei g ein erzeugendes Element einer endli- 
chen Gruppe ist. 

In der ersten Computereinheit U wird eine erste Zufallszahl t 
generiert (Schritt 101). Aus der ersten Zufallszahl t wird 
mit Hilfe des erzeugenden Elements g einer endlichen Gruppe 
in der ersten Computereinheit U ein erster Wert gt gebildet 
(Schritt 102) . 

Nach der Berechnung des ersten Werts gt wird eine erste Nach- 
richt Ml codiert, die mindestens den ersten Wert gt aufweist. 
Die erste Nachricht Ml wird von der ersten Computereinheit U 
an die zweite Computereinheit N iibertragen (Schritt 103) . 

In der zweiten Computereinheit N wird die erste Nachricht Ml 
decodiert. Die erste Nachricht Ml kann auch uber einen unsi- 
cheren Kanal, also auch uber eine Luf tschnittstelle, unver- 
schlusselt iibertragen werden, da die Logarithmierung des er- 
sten Wertes gt nicht in vertretbarer Zeit durchgefiihrt werden 
kann. 

In der zweiten Computereinheit N wird eine zweite Zufallszahl 
r generiert (Schritt 104). Durch diesen zusatzlichen Verfah- 
rensschritt wird ein zusatzliches Sicherheitsziel realisiert: 
die Zusicherung der Frische (Aktualitat) eines im folgenden 
beschriebenen Sitzungsschliissels K fur die zweite Compu- 
tereinheit N. 

In der zweiten Computereinheit N wird mit Hilfe einer ersten 
Hash-Funktion hi ein Si tzungsschlussel K gebildet (Schritt 
105) . Als eine erste EingangsgroBe der ersten Hash-Funktion 
hi wird mindestens ein erster Term verwendet. Der erste Term 
wird gebildet, indem der erste Wert gt potenziert wird mit 
einem geheimen Netzschliissel s. 
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Wenn die zweite Zufallszahl r verwendet wird, so weist die 
erste Eingangsgrofie der. ersten Hash-Funktion hi zusatzlich 
mindestens die zweite Zufallszahl r auf. 

5 Nun wird in der zweiten Computereinhei t N eine Antwort A ge- 
bildet (Schritt 106) . Zur Bildung der Antwort A sind ver- 
schiedene Varianten vorgesehen. So ist es z.B. moglich, dafi 
mit dem Sit zungsschliissel K unter Verwendung einer Verschlus- 
selungsf unktion Enc eine Konstante const, sowie eventuell 

10 weitere Grofien, verschliisselt wird. Die Konstante const ist 
sowohl der ersten Computereinheit U als auch der zweiten Com- 
putereinheit N bekannt. Auch die Verschliisselungsf unktion Enc 
ist sowohl der zweiten Computereinheit N als auch der ersten 
Computereinheit U als die in dem Verfahren zu verwendende 

15 Verschllisselungsfunktion bekannt. 

Eine weitere Moglichkeit, die Antwort A zu bilden (Schritt 
106) liegt darin, dafi der Sitzungsschlussel K, sowie eventu- 
ell vorgebbare weitere Grofien, z.B. eine Identitatsangabe idN 
20 der zweiten Computereinheit N und/oder die zweite Zufallszahl 
als Eingangsgrofie fur eine zweite Hash-Funktion h2 verwendet 
wird und der "gehashte" Wert des Sit zungsschlussels K, sowie 
eventuell der weiteren Grofien, als Antwort A verwendet wird. 

25 Eine Aneinanderreihung der zweiten Zufallszahl r, der Antwort 
A, sowie ein optionales erstes Datenfeld datl bilden eine 
zweite Nachricht M2 . Das optionale erste Datenfeld datl ist 
nur in der zweiten Nachrichten M2 enthalten, wenn dies in dem 
Verfahren vorgesehen ist. 

30 

Die zweite Nachricht M2 wird in der zweiten Computereinheit N 
codiert und zu der ersten Computereinheit U iibertragen 
(Schritt 107) . 

35 In der ersten Computereinheit U wird die zweite Nachricht M2 
decodiert, so dafi die erste Computereinheit U die zweite Zu- 
fallszahl r, die Antwort A sowie eventuell das optionale er- 
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ste Datenfeld datl zur Verfugung hat. Die Lange des optiona- 
len ersten Datenfeldes datl kann beliebig grofi sein, d.h. es 
ist auch moglich, dafi das optionale erste Datenfeld datl 
nicht vorhanden ist. 

In der ersten Computereinheit U wird nun ebenfalls der Sit- 
zungsschlussel K gebildet (Schritt 108), mit Hilfe der ersten 
Hash-Funktion hi, die sowohl der zweiten Computereinheit N 
als auch der ersten Computereinheit U bekannt ist. Eine zwei- 
te Eingangsgrofie der ersten Hash-Funktion hi zur Bildung des 
Sitzungsschlussels K in der ersten Computereinheit U weist 
mindestens einen zweiten Term auf. Der zweite Term wird ge- 
bildet aus einer Exponentation eines offentlichen Netzschlus- 
sels g s mit der ersten Zufallszahl t. Wenn die Verwendung der 
zweiten Zufallszahl r in dem Verfahren zur Berechnung des 
Sitzungsschlussels K vorgesehen wird, so weist die zweite 
Eingangsgrofle der ersten Hash-Funktion hi zur Bildung des 
Sitzungsschlussels K in der ersten Computereinheit U zusatz- 
lich die zweite Zufallszahl r auf. 

Durch die Verwendung der ersten Zufallszahl t und der zweiten 
Zufallszahl r bei der Generierung des Sitzungsschlussels K 
wird die Aktualitat des Sitzungsschlussels K gewahrleistet , 
da jeweils die erste Zufallszahl t als auch die zweite Zu- 
fallszahl r nur fur jeweils einen Sitzungsschlussel K verwen- 
det werden. Somit wird eine Wiedereinspielung eines alteren 
Schlussels als Sitzungsschlussel K verhindert. 

Nachdem in der ersten Computereinheit U der Sitzungsschlussel 
K gebildet wurde, wird anhand der empfangenen Antwort A uber- 
priift, ob der in der ersten Computereinheit U gebildete Sit- 
zungsschlussel K mit dem Sitzungsschlussel K, der in der 
zweiten Computereinheit N gebildet wurde, ubereinstimmt 
(Schritt 109) . Abhangig von den im vorigen beschriebenen Va- 
rianten zur Bildung der Antwort A sind verschiedene Moglich- 
keiten vorgesehen, den Sitzungsschlussel K anhand der Antwort 
A zu uberprufen. 
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Eine Moglichkeit besteht darin, dafi, wenn die Antwort A in 
der zweiten Computereinheit N durch Verschliisselung der Kon- 
stante const, sowie eventuell weitere Grofien, mit dem Sit- 
zungsschliissel K unter Verwendung der Verschlusselungsf unkti- 
on Enc gebildet wurde, die Antwort A entschlUssel t wird, und 
somit die erste Computereinheit U eine entschliisselte Kon- 
stante const', sowie eventuell vorgebbare weitere Grofien, er- 
halt, die mit der bekannten Konstante const, sowie eventuell 
den weiteren Grofien, verglichen wird. 

Die Uberprtifung des Sitzungsschliissels K anhand der Antwort A 
kann auch durchgefuhrt werden, indem die der ersten Compu- 
tereinheit U bekannte Konstante const, sowie eventuell vor- 
gebbare weitere Grofien, mit dem in der ersten Computereinheit 
U gebildeten Sitzungsschliissel K unter Verwendung der Ver- 
schliisselungsfunktion Enc verschliisselt wird und das Ergebnis 
mit der Antwort A. auf Obereinstimmung gepriift wird. Diese 
Vorgehensweise wird auch verwendet, wenn die Antwort A in der 
zweiten Computereinheit N gebildet wird, indem auf den Sit- 
zungsschliissel K, sowie eventuell den weiteren Grofien, die 
zweite Hash-Funktion h2 angewendet wird. In diesem Fall wird 
in der ersten Computereinheit U der in der ersten Compu- 
tereinheit U gebildete Sitzungsschliissel K, sowie eventuell 
vorgebbare weiteren Grofien, als Eingangsgrofie der zweiten 
Hash-Funktion h2 verwendet. Der "gehashte" Wert des in der 
ersten Computereinheit U gebildeten Sitzungsschliissels K, so- 
wie eventuell weiterer Grofien, wird dann mit der Antwort A 
auf Obereinstimmung gepriift. Damit wird das Ziel der Schltis- 
selbestatigung des Sitzungsschliissels K erreicht. 

Dadurch, dafi bei der Berechnung des Sitzungsschliissels K in 
der zweiten Computereinheit N der geheime Netzschlussel s und 
bei der Berechnung des Sitzungsschliissels K in der ersten 
Computereinheit U der offentliche Netzschlussel g s verwendet 
werden, wird die zweite Computereinheit N durch die erste 
Computereinheit U authentif iziert . Dies wird erreicht, vor- 
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ausgesetzt dafi fur die erste Computereinheit U bekannt ist, 
dafi der offentliche Netzschliissel gS tatsachlich zur zweiten 
Computereinheit N gehort. 

Im Anschlufi an die Bestatigung des Sitzungsschlussels K durch 
Uberprufung der Antwort A wird ein Signaturterm berechnet 

(Schritt 110) . Hierzu wird mit Hilfe einer dritten Hash- 
Funktion h3 eine vierte Eingangsgrofie gebildet. Die dritte 
Hash-Funktion h3 kann, mufi aber nicht dieselbe Hash-Funktion 
sein wie die erste Hash-Funktion hi und/oder die zweite Hash- 
Funktion h2. Als eine dritte Eingangsgrofie fur die dritte 
Hash-Funktion h3 wird ein Term verwendet, der eine oder wei- 
tere Grofien aufweist, aus denen auf den Sitzungsschlussel 
eindeutig ruckgeschlossen werden kann, enthalt . Weiterhin kann 
die dritte Eingangsgrofie das optionale erste Datenfeld datl 
oder auch ein optionales zweites Datenfeld dat2 enthalten, 
wenn deren Verwendung in dem Verfahren vorgesehen wird. 

Solche Grofien sind der erste Wert gt, der offentliche Netz- 
schliissel g s sowie die zweite Zufallszahl r. 

Es kann spater nicht abgestritten werden, dafi die Daten, die' 
im ersten optionale Datenfeld datl und im zweiten optionalen 
Datenfeld dat2 enthalten sind, von der ersten Computereinheit 
U gesendet wurden. 

Die in dem ersten optionalen Datenfeld datl und in dem zwei- 
ten optionalen Datenfeld dat2 enthaltenen Daten konnen Tele- 
fonnummern, die aktuelle Zeit oder ahnliche hierfur geeignete 
Parameter sein. Diese Information kann als Werkzeug fur eine 
unanf echtbare Gebuhrenabrechnung verwendet werden. 

Unter Verwendung einer ersten Signaturf unktion Sigy wird der 
Signaturterm aus mindestens der vierteh Eingangsgrofie gebil- 
det. Urn einen hoheren Sicherheitsgrad zu erzielen, kann der 
Signaturterm verschlusselt werden. Der Signaturterm wird in 
diesem Fall mit dem Sitzungsschlussel K unter Verwendung der 
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Verschlusselungsfunktion Enc verschlusselt und bildet den er- 
sten verschltisselten Term VT1 . 

Auflerdem wird, falls das Sicherheitsziel "Anonymitat des Be- 
nutzers" realisiert werden soil, ein zweiter verschlusselter 
Term VT2 berechnet, in dem eine Identitatsgrofle IMUI der er- 
sten Computereinheit U mit dem Sitzungschliissel K mit Hilfe 
der Verschlusselungsfunktion Enc verschlusselt wird. Bei Ver- 
wendung eines optionalen zweiten Datenfeldes dat2 wird in der 
ersten Computereinheit U ein dritter verschlusselter Term VT3 
berechnet, indem das optionale zweite Datenfeld dat2 mit dem 
Sitzungsschlussel K unter Verwendung der Verschlusselungs- 
funktion Enc verschlusselt wird, das optionale zweite Daten- 
feld dat2 kann auch unverschlusselt ubertragen werden. 

Die drei verschltisselten Terme konnen auch zu einem vierten 
verschlusselten Term VT4 zusammengef asst werden, in dem die 
Verkettung von Signaturterm, Identitatsgrofle IMUI und optio- 
nalem zweiten Datenfeld dat2 mit dem Sitzungsschlussel K ver- 
schlusselt ist (Schritt 111) . 

In der ersten Computereinheit U wird eine dritte Nachricht M3 
gebildet und codiert, die mindestens den Signaturterm und die 
Identitatsgrofle IMUI der ersten Computereinheit U aufweist. 

Falls die Anonymitat der ersten Computereinheit U gewahrlei- 
stet werden soli, weist die dritte Nachricht M3 anstatt der 
Identitatsgrofle IMUI der ersten Computereinheit U mindestens 
entweder den zweiten verschlusselten Term VT2 oder den vier- 
ten verschlusselten Term VT4 auf, der die Information uber 
die Identitat der ersten Computereinheit U in verschlusselter 
Form enthalt, die nur von der zweiten Computereinheit N ent- 
schlusselt werden kann. 

Wenn die Verwendung des optionalen zweiten Datenfelds dat2 
vorgesehen wird, weist die dritte Nachricht M3 zusatzlich 
mindestens den dritten verschlusselten Term VT3 oder den 
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vierten verschlusselten Term VT4 oder das optionale zweite 
Datenfeld dat2 im Klartext auf . 

Wenn die dritte Nachricht M3 den ersten verschlusselten Term 
VT1, den zweiten verschlusselten Term VT2 oder den dritten 
verschlusselten Term VT3 oder den vierten verschlusselten 
Term VT4 enthalt, werden diese in der zweiten Computereinheit 
N entschlusselt. Dies geschieht fur den eventuell vorhandenen 
ersten verschlusselten Term VT1 vor der Verif ikation des Si- 
gnaturterms . 

Die dritte Nachricht M3 wird von der ersten Computereinheit U 
zu der zweiten Computereinheit N iibertragen (Schritt 112) . 

Zusatzlich wird die Authentif ikation der ersten Computerein- 
heit U gegenuber der zweiten Computereinheit N durch den Si- 
gnaturterm gewahrleistet, der die Zufallszahl r enthalt, 
durch deren Verwendung garantiert wird, dafi die dritte Nach- 
richt M3 tatsachlich aktuell von der ersten Computereinheit U 
gesendet wurde . 

In der zweiten Computereinheit N wird die dritte Nachricht M3 
decodiert, entschlusselt und anschlieflend wird anhand eines 
Benuterzertif ikats CertU, das der zweiten Computereinheit N 
zur Verfiigung steht, der Signaturterm verifiziert (Schritt 
113) . 

Wenn fur das Verfahren temporare Benutzeridentitaten vorgese- 
hen werden, so wird das im vorigen beschriebene Verfahren urn 
einige Verf ahrensschritte erweitert. 

Zuerst mufi der zweiten Computereinheit N bekannt gemacht wer- 
den, welche erste Computereinheit U eine neue temporare Iden- 
titatsgrofle TMUIN von der zweiten Computereinheit N zugewie- 
sen bekommen soil. 
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Hierzu wird als zusatzlicher Bestandteil der ersten Nachricht 
Ml eine alte temporare Identitatsgrofie TMUIO von der ersten 
Computereinheit U an die zweite Computereinheit N ubertragen. 

Nach Empfang der ersten Nachricht Ml ist somit in der zweiten 
Computereinheit N bekannt, fUr welche erste Computereinheit U 
die neue temporare Identitatsgrofie TMUIN bestimmt ist. 

In der zweiten Computereinheit N wird dann die neue temporare 
Identitatsgrofie TMUIN fur die erste Computereinheit U gebil- 
det. Dies kann z. B. durch Generierung einer Zufallszahl oder 
durch Tabellen, in denen mogiiche Identitatsgrofien abgespei- 
chert sind, durchgefuhrt werden. Aus der neuen temporaren 
Identitatsgrofie TMUIN der ersten Computereinheit U wird in 
der zweiten Computereinheit N ein funfter verschliisselter 
Term VT5 gebildet, indem die neue temporare Identitatsgrofie 
TMUIN der ersten Computereinheit U mit dem Sitzungsschlussel 
K unter Verwendung der Verschliisselungsf unktion Enc ver- 
schliisselt wird. 

In diesem Fall weist die zweite Nachricht N2 zusatzlich min- 
destens den funften verschltisselten Term VT5 auf . Der funfte 
verschltisselte Term VT5 wird dann in der ersten Computerein- 
heit U entschlusselt . Nun ist die neue temporare Identitats- 
grofie TMUIN der ersten Computereinheit U in der ersten Compu- 
tereinheit U verfugbar. 

Damit der zweiten Computereinheit N auch gewahrleistet wird, 
dafi die erste Computereinheit U die neue temporare Identi- 
tatsgrofie TMUIN korrekt empfangen hat, weist die dritte Ein- 
gangsgrofie fur die erste Hash-Funktion hi oder fur die dritte 
Hash-Funktion h3 zusatzlich mindestens die neue temporare 
Identitatsgrofie TMUIN der ersten Computereinheit U auf. 



Da die Information der neuen temporaren Identitatsgrofie TMUIN 
in dem Signaturterm in diesem Fall enthalten ist, weist die 
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dritte Nachricht M3 nicht mehr die IdentitatsgroAe IMUI der 
ersten Computereinheit U auf. 

Es ist auch moglich, die neue temporare Identitatsgrofie TMUIN 
nicht in den Signaturterm zu integrieren, sondern den zweiten 
verschlusselten Term VT2 zu bilden, indem anstatt der I dent i- 
tatsgrofie IMUI der ersten Computereinheit U die neue tempora- 
re Identitatsgrofie TMUIN mit dem Sitzungsschlussel K unter 
Verwendung der Verschliisselungsfunktion Enc verschlusselt 
wird. In diesem Fall weist die dritte Nachricht M3 zusatzlich 
den zweiten verschlusselten Term VT2 auf. 

Die in dem Verfahren verwendeten Hash-Funktionen, die erste 
Hash-Funktion hi, die zweite Hash-Funktion h2 und die dritte 
Hash-Funktion h3 konnen durch die gleiche, aber auch durch 
verschiedene Hash-Funktionen realisiert werden. 

Zweites Ausfuhrungsbei spiel 

In Figur 2 ist durch eine Skizze der Ablauf eines zweiten 
Ausfiihrungsbeispiels des Verfahrens dargestellt. 

Fur dieses Ausf uhrungsbeispiel des Verfahrens wird vorausge- 
setzt, da!3 in der ersten Computereinheit U ein vertrauenswur- 
diger offentlicher Benutzerschlussel KU der ersten Compu- 
tereinheit U in Form eines Benutzerzertif ikats CertU verfiig- 
bar gemacht wird und daii in der zweiten Computereinheit N ein 
vertrauenswurdiger offentlicher Netzschliissel g s der zweiten 
Computereinheit N in Form eines Netzzertif ikats CertN verfug- 
bar gemacht wird. Der offentliche Net zschlussel g s mufi nicht 
in der ersten Computereinheit U verfugbar sein. Ebenso ist es 
nicht notig, daI3 der offentliche Benutzerschlussel KU in der 
zweiten Computereinheit N verfugbar ist. 

In der ersten Computereinheit U wird die erste Zufallszahl t 
generiert (Schritt 201). Aus der ersten Zufallszahl t wird 
mit Hilfe des erzeugenden Elements g einer endlichen Gruppe 
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in der ersten Computereinhei t U der erste Wert g fc gebildet 
(Schritt 202) . 

Nach der Berechnung des ersten Werts g t wird eine erste Nach- 
richt Ml codiert/ die mindestens den ersten Wert gt und eine 
Identitatsangabe id CA einer Zertif izierungscomputereinheit 
CA, die das Netzzertif ikat CertN liefert, das von der ersten 
Computereinheit U verifiziert werden kann, aufweist. Die er- 
ste Nachricht Ml wird von der ersten Computereinheit U an die 
zweite Computereinheit N ubertragen (Schritt 203) . 

In der zweiten Computereinheit N wird die erste Nachricht Ml 
decodiert . 

Wie in Figur 2 beschrieben, wird in der zweiten Computerein- 
heit N eine zweite Zufallszahl r generiert wird (Schritt 

204) . Durch diesen zusatzlichen Verf ahrensschritt wird ein 
zusatzliches Sicherheitsziel realisiert: die Zusicherung der 
Frische (Aktualitat) eines im folgenden beschriebenen Sit- 
zungsschliissels K fur die zweite Computereinheit N. 

In der zweiten Computereinheit N wird mit Hilfe der ersten 
Hash-Funktion hi der Sitzungsschliissel K gebildet (Schritt 

205) . Als erste Eingangsgrofie der ersten Hash-Funktion hi 
wird ein erster Term verwendet. Der erste Term wird gebildet, 
indem der erste Wert gt potenziert wird mit dem geheimen 
Netzschliissel s. 

Wenn die zweite Zufallszahl r verwendet wird, so weist die 
erste Eingangsgrofie der ersten Hash-Funktion hi zusatzlich 
mindestens die zweite Zufallszahl r auf. 

Nun wird in der zweiten Computereinheit N eine Antwort A ge- 
bildet (Schritt 206) . Zur Bildung der Antwort A sind die im 
Rahmen des ersten Ausfuhrungsbeispiels beschriebenen Varian- 
ten vorgesehen. 
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Eine Aneinanderreihung der zweiten Zufallszahl r, des Netz- 
zertifikats CertN, der Antwort A, sowie ein optionales erste 
Datenfeld datl bilden die zweite Nachricht M2 . Das optionale 
erste Datenfeld datl ist nur in der zweiten Nachricht M2 ent 
halten, wenn dies in dem Verfahren vorgesehen ist. 

Die zweite Nachricht M2 wird in der zweiten Computereinheit 
codiert und zu der ersten Computereinheit U Ubertragen 
(Schritt 207) . 

In der ersten Computereinheit U wird die zweite Nachricht M2 
decodiert, so dafl die erste Computereinheit U die zweite Zu- 
fallszahl r, die Antwort A sowie eventuell das optionale er- 
ste Datenfeld datl zur Verfiigung hat. Die Lange des optiona- 
len ersten Datenfeldes datl kann beliebig groB sein, d.h. es 
ist auch moglich, dafl das optionale erste Datenfeld datl 
nicht vorhanden ist. 



Anschliefiend wird das in der zweiten Nachricht M2 enthalten 
Netzzertifikat CertN in der ersten Computereinheit verifi- 
ziert. Somit steht der offentliche Netzschlussel g s in der 
ersten Computereinheit U zur Verfugung. 

In der ersten Computereinheit U wird nun ebenfalls der Sit- 
zungsschlussel K gebildet (Schritt 208), mit Hilfe der ersten 
Hash-Funktion hi, die sowohl in der zweiten Computereinheit N 
als auch in der ersten Computereinheit U bekannt ist. Eine 
zweite Eingangsgroiie der ersten Hash-Funktion hi zur Bildung 
des Sitzungsschltissels K in der ersten Computereinheit U 
weist mindestens einen zweiten Term auf. Der zweite Term wird 
gebildet aus einer Exponentation des offentlichen Netzschlus- 
sels g s mit der ersten Zufallszahl t. Wenn die Verwendung der 
zweiten Zufallszahl r in dem Verfahren zur Berechnung des 
Sitzungsschltissels K vorgesehen wird., so weist die zweite 
Eingangsgrofie der ersten Hash-Funktion hi zur Bildung des 
Sitzungsschltissels K in der ersten Computereinheit U zusatz- 
lich die zweite Zufallszahl r auf. 
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Durch die Verwendung der ersten Zufallszahl t und der zweiten 
Zufallszahl r bei der Generierung des Sitzungsschlussels K 
wird die Aktuali tat des Sitzungsschlussels K gewahrleis tet , 
da jeweils die erste Zufallszahl t als auch die zweite Zu- 
fallszahl r nur fur jeweils einen Sitzungsschlussel K verwen- 
det werden. Somit wird eine Wiedereinspielung eines alteren 
Schlussels als Sitzungsschlussel K verhindert. 

Nachdem in der ersten Computereinheit U der Sitzungsschlussel 
K gebildet wurde, wird anhand der empf angenen Antwort A uber- 
prtift, ob der in der ersten Computereinheit U gebildete Sit- 
zungsschlussel K mit dem Sitzungsschlussel K, der in der 
zweiten Computereinheit N gebildet wurde, ubereinstimmt 
(Schritt 209) . 

Abhangig von den im vorigen beschriebenen Varianten zur Bil- 
dung der Antwort A sind verschiedene Moglichkeiten vorgese- 
hen, den Sitzungsschlussel K anhand der Antwort A zu uberpru- 
f en . 

Zur Oberprlifung der Antwort A sind die im Rahmen des ersten 
Ausfuhrungsbeispiels beschriebenen Varianten vorgesehen. 
Damit wird das Ziel der Schlusselbestatigung des Sitzungs- 
schlussels K erreicht. 

Dadurch, dali bei der Berechnung des Sitzungsschlussels K in 
der zweiten Computereinheit N der geheime Netzschlussel s und 
bei der Berechnung des Sitzungsschlussels K in der ersten 
Computereinheit U der offentliche Netzschlussel gS verwendet 
werden, wird die zweite Computereinheit N durch die erste 
Computereinheit U authentif iziert . Dies wird erreicht, vor- 
ausgesetzt dafi fur die erste Computereinheit U bekannt ist, 
dafl der offentliche Netzschlussel g s . tatsachlich zur zweiten 
Computereinheit N gehort . 
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Im Anschlufi an die Bestatigung des Sitzungsschlussels K durch 
Oberprlifung der Antwort A wird der Signaturterm berechnet 

(Schritt 210) . Hierzu wird mit Hilfe der dritten Hash- 
Funktion h3 eine vierte Eingangsgrofie gebildet. Die dritte 
Hash-Funktion h3 kann, mufl aber nicht dieselbe Hash-Funktion 
sein wie die erste Hash-Funktion hi und/oder die zweite Hash- 
Funktion h2. Als eine dritte Eingangsgrofie fur die dritte 
Hash-Funktion h3 wird ein Term verwendet, der eine oder wei- 
tere Grofien aufweist, aus denen auf den Sitzungsschlussel 
eindeutig ruckgeschlossen werden kann. Weiterhin kann die 
dritte Eingangsgrofie das optionale erste Datenfeld datl oder 
auch ein optionales zweites Datenfeld dat2 enthalten, wenn 
deren Verwendung in dem Verfahren vorgesehen wird. 

Solche Grofien sind der erste Wert g t , der offentliche Netz- 
schlussel g s sowie die zweite Zufallszahl r. 

Es kann spater nicht abgestritten werden, dafi die Daten, die 
im ersten optionale Datenfeld datl und im zweiten optionalen 
Datenfeld dat2 enthalten sind, von der ersten Computereinheit 
U gesendet wurden. 

Die in dem ersten optionalen Datenfeld datl und in dem zwei- 
ten optionalen Datenfeld dat2 enthaltenen Daten konnen Tele- 
fonnummern, die aktuelle Zeit oder ahnliche hierfur geeignete 
Parameter sein. Diese Information kann als Werkzeug fur eine 
unanf echtbare Gebuhrenabrechnung verwendet werden. 

Unter Verwendung einer ersten Signaturf unktion Sigy wird der 
Signaturterm aus mindestens der vierten Eingangsgrofie gebil- 
det. Urn einen hoheren Sicherheitsgrad zu erzielen, kann der 
Signaturterm verschlusselt werden. Der Signaturterm wird in 
diesem Fall mit dem Sitzungsschlussel K unter Verwendung der 
Verschliisselungsfunktion Enc verschlusselt und bildet den er- 
sten verschliisselten Term VT1 . 
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AuJSerdem wird, falls das Sicherheitsziel "Anonymitat des Be- 
nutzers" realisiert werden soil, ein zweiter verschltisselter 
Term VT2 berechnet, in dem ein Benutzerzertif ikat CertU der 
ersten Computereinheit U mit dem Sitzungschlussel K mit Hilfe 
der Verschliisselungsfunktion Enc verschlUsselt wird. Bei Ver- 
wendung eines optionalen zweiten Datenfeldes dat2 kann in der 
ersten Computereinheit U ein dritter verschltisselter Term VT3 
berechnet werden, indem das optionale zweite Datenfeld dat2 
mit dem SitzungsschlUssel K unter Verwendung der Verschliisse- 
lungsfunktion Enc verschlUsselt wird. Das optionale zweite 
Datenfeld dat2 kann ebenso unverschlUselt ubertragen werden. 

Die drei verschlusselten Terme kSnnen auch zu einem vierten 
verschlusselten Term VT4 zusammengef asst werden, in dem die 
Verkettung von Signaturterm, Identitatsgrofie IMUI und optio- 
nalem zweiten Datenfeld dat2 mit K verschlUsselt ist (Schritt 
211) . 



In der ersten Computereinheit U wird eine dritte Nachricht M3 
gebildet und codiert, die mindestens den Signaturterm und das 
Benutzerzertifikat CertU der ersten Computereinheit U auf- 
weist. Falls die Benutzeranonymitat der ersten Computerein- 
heit U gewahrleistet werden soli, weist die dritte Nachricht 
M3 anstatt des Benutzerzertif ikats CertU der ersten Compu- 
tereinheit U mindestens entweder den zweiten verschlusselten 
Term VT2 oder den vierten verschlusselten Term VT4 auf, der 
das Benutzerzertifikat CertU der ersten Computereinheit U in 
verschlUsselter Form enthalt, die nur von der zweiten Compu- 
tereinheit N entschlUsselt werden kann. 

Wenn die Verwendung des optionalen zweiten Datenfelds dat2 
vorgesehen wird, weist die dritte Nachricht M3 zusatzlich 
mindestens den dritten verschlusselten Term VT 3 oder den 
vierten verschlusselten Term VT4 auf.. Wenn die dritte Nach- 
richt M3 den ersten verschlusselten Term VT1, den zweiten 
verschlusselten Term VT2 oder den dritten verschlusselten 
Term VT3 oder den vierten verschlusselten Term VT4 aufweist, 
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werden diese in der zweiten Computereinheit N entschliisselt . 
Dies geschieht fur den eventuell vorhandenen ersten ver- 
schlusselten Term VT1 vor der Verif ikation des Signaturterms . 

Die dritte Nachricht M3 wird von der ersten Computereinheit U 
zu der zweiten Computereinheit N ubertragen (Schritt 212) . 

In der zweiten Computereinheit N wird die dritte Nachricht M3 
decodiert, entschliisselt und anschliefiend wird anhand eines 
Benuterzertifikats CertU, das der zweiten Computereinheit N 
zur Verfugung steht, der Signaturterm verifiziert (Schritt 
213) . 

Zusatzlich wird die Authentif ikation der ersten Computerein- 
heit U gegenuber der zweiten Computereinheit N durch den Si- 
gnaturterm gewahrleistet, der die Zufallszahl r enthalt, 
durch deren Verwendung garantiert wird, dafi die dritte Nach- 
richt M3 tatsachlich aktuell von der ersten Computereinheit U 
gesendet wurde. 

Wenn fur das Verfahren temporare Benutzeridentitaten vorgese- 
hen werden, so wird das im vorigen beschriebene Verfahren urn 
einige Verf ahrensschritte erweitert. 

In der zweiten Computereinheit N wird fur die erste Compu- 
tereinheit U eine neue temporare Identitatsgrofle TMUIN gebil- 
det, die der ersten Computereinheit U im weiteren zugewiesen 
wid. Dies kann durch Generierung einer Zufallszahl oder durch 
Tabellen, in denen mogliche IdentitatsgroiJen abgespeichert 
sind, durchgefuhrt werden. Aus der neuen temporaren Identi- 
tatsgrolie TMUIN der ersten Computereinheit U wird in der 
zweiten Computereinheit N ein funfter verschltisselter Term 
VT5 gebildet, indem die neue temporare Identitatsgrofle TMUIN 
der ersten Computereinheit U mit deiru Sitzungsschlussel K un- 
ter Verwendung der Verschlusselungsf unktion Enc verschlusselt 
wird. 
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In diesem Fall weist die zweite Nachricht M2 zusatzlich min- 
destens den funften verschlusselten Term VT5 auf. Der ftinfte 
verschltisselte Term VT5 wird dann in der ersten Computerein- 
heit U entschlusselt. Nun ist die neue temporare Identitats- 
grofie TMUIN der ersten Computereinheit U in der ersten Compu- 
tereinheit U verfugbar. 

Damit der zweiten Computereinheit N auch gewahrleistet wird, 
dafi die erste Computereinheit U die neue temporare Identi- 
tatsgrofie TMUIN korrekt empfangen hat, weist die dritte Ein- 
gangsgrofie far die erste Hash-Funktion hi oder fur die dritte 
Hash-Funktion h3 zusatzlich mindestens die neue temporare 
Identitatsgrofle TMUIN der ersten Computereinheit U auf. 

Es ist auch moglich, die neue temporare Identitatsgrofle TMUIN 
nicht in den Signaturterm zu integrieren, sondern den zweiten 
verschlusselten Term VT2 zu bilden, indem die neue temporare 
Identitatsgrofie TMUIN der ersten Computereinheit U mit dem 
Sitzungsschltissel K unter Verwendung der Verschliisselungs- 
funktion Enc verschlusselt wird. In diesem Fall weist die 
dritte Nachricht M3 zusatzlich den zweiten verschlusselten 
Term VT2 auf. 

Drittes Ausfuhrungsbei spiel 

In Figur 3 ist durch eine Skizze der Ablauf eines dritten 
Ausfuhrungsbeispiels dargestellt . 

Fur dieses Ausf uhrungsbeispiel des Verfahrens wird vorausge- 
setzt, dafi in der ersten Computereinheit U kein vertrauens- 
wtirdiger offentlicher Netzschliissel g s der zweiten Compu- 
tereinheit N verfugbar ist. In der ersten Computereinheit U 
ist ein vertrauenswurdiger offentlicher Zertif izierungs- 
schlussel cs einer Zertif izierungscomputereinheit CA verfiig- 
bar. Dies bedeutet, dafi die erste Computereinheit U sich den 
vertrauenswilrdigen offentlichen Netzschliissel g s in Form ei- 
nes Netzzertifikats CertN von der Zertif izierungscomputerein- 
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heit CA "besorgen" mufi . Ebenso braucht die zweite Compu- 
tereinheit N den vertrauenswiirdigen of f entlichen Benutzer- 
schussel KU in Form eines Benutzerzertif ikats CertU von der 
Zertif izierungscomputereinheit CA. 

In der ersten Computereinheit U wird die erste Zufallszahl t 
generiert (Schritt 301) . Aus der ersten Zufallszahl t wird 
mit Hilfe des erzeugenden Elements g einer endlichen Gruppe 
in der ersten Computereinheit U der erste Wert gt gebildet 
(Schritt 302) . 

Nach der Berechnung des ersten Werts gt wird eine erste Nach- 
richt Ml codiert, die mindestens den ersten Wert gt/ eine 
Identitatsgrofie IMUI der ersten Computereinheit U und eine 
Identitatsgrofie id CA einer Zertif izierungscomputereinheit CA, 
die ein Netzzertif ikat CertN liefert, das von der ersten Com- 
putereinheit U verifiziert werden kann, aufweist. Dies ist 
notig, wenn mehrere Zertif izierungsinstanzen mit unterschied- 
lichen geheimen Zertif izierungsschliisseln vorgesehen werden. 
Wenn das Sicherheitsziel der Benutzeranonymitat realisiert 
werden soil, wird in der ersten Computereinheit U vor Bildung 
der ersten Nachricht Ml ein Zwischenschlussel L gebildet. 
Dies geschieht durch Potenzierung des offentlichen Schliissel- 
vereinbarungsschliissels gU der Zertif izierungscomputereinheit 
CA; der in der ersten Computereinheit U verfugbar ist, mit 
der ersten Zufallszahl t. Im weiteren wird in diesem Fall die 
Identitatsgrofie IMUI der ersten Computereinheit U mit dem 
Zwischenschlussel L unter Anwendung einer Verschliisselungs- 
funktion Enc verschlussel t und das Ergebnis stellt einen 
fiinften verschlussel ten Term VT5 dar. Der fiinfte verschliis- 
selte Term VT5 wird anstatt der Identitatsgrofie IMUI der er- 
sten Computereinheit U in die erste Nachricht Ml integriert. 
Die erste Nachricht Ml wird von der ersten Computereinheit U 
an die zweiten Computereinheit N iibertragen (Schritt 303) . 

In der zweiten Computereinheit N wird die erste Nachricht Ml 
decodiert, und eine vierte Nachricht M4 gebildet (Schritt 
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304), die eine Verkettung des der zweiten Computereinheit N 
bekannten Zertifikats CertN auf den of f entlichen Netzschliis- 
sel g s , dem ersten Wert gt und der Identitatsgrofie IMUI der 
ersten Computereinheit U aufweist. In dem Fall, dafi das Si- 
cherheitsziel der Benutzeranonymitat realisiert werden soil, 
wird in der vierten Nachricht M4 anstatt der Identitatsgrofie 
IMUI der ersten Computereinheit U der funfte verschlusselte 
Term VT5 codiert. 

Die vierte Nachricht M4 wird in der zweiten Computereinheit N 
codiert und anschliefiend an die Zertif izierungscomputerein- 
heit CA ubertragen (Schritt 304) . 

In der Zertif izierungscomputereinheit CA wird die vierte 
Nachricht M4 decodiert. 



AnschlieJJend wird, falls die Benutzeranonymitat gewahrleistet 
wird, also der funfte verschlusselte Term VT5 in der vierten 
Nachricht M4 mitgesendet wurde, in der Zertif izierungscompu- 
tereinheit CA der Zwischenschlussel L berechnet, indem der 
erste Wert gt mit einem geheimen Schliisselvereinbarungs- 
schliissel u der Zertif izierungscomputereinheit CA potenziert 
wird. 

Mit dem Zwischenschlussel L wird unter Verwendung der Ver- 
schlusselungsfunktion Enc der funfte verschlusselte Term VT5 
entschlusselt, womit in der Zertif izierungscomputereinheit CA 
die Identitatsgrofie IMUI der ersten Computereinheit U bekannt 
ist . 



In der Zertif izierungscomputereinheit CA wird dann das Benut- 
zerzertifikat CertU ermittelt. Das Benutzerzertif ikat CertU 
wird aus einer der Zertif izierungscomputereinheit CA eigenen 
Datenbank ermittelt, die alle Zertifikate der Computereinhei- 
ten enthalt, fur die die Zertif izierungscomputereinheit CA 
Zertifikate erstellt. 
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Urn die Gultigkeit des Netzzertif ikats CertN und des Benutzer- 
zertifikats CertU zu tiberpriifen, wird eine Identitatsangabe 
id N der Netzcomputereinheit N und der in der vierten Nach- 
richt mitgesendete offentliche Netzschlussel g s , die Identi- 
tatsgroiie IMUI der ersten Computereinheit U sowie das ermit- 
telte Benutzerzertif ikat CertU mit einer Revokationsliste 
verglichen, in der ungultige Zertifikate, Schlussel oder 
Identitatsgrofien aufgefiihrt sind. 

Anschlieflend bildet die Zertif izierungscomputereinheit CA 
drei Ketten von Zertif ikaten, eine erste Zertif ikatskette 
CertChain (U, N) , eine zweite Zertif ikatskette CertChain(N, 
U) sowie eine dritte Zertif ikatskette CertChain (N, CA) . 

Die erste Zertif ikatskette CertChain (U, N) kann von der er- 
sten Computereinheit U mittels des der ersten Computereinheit 
U bekannten offentlichen Zertif izierungsschltissels der Zerti- 
f izierungscomputereinheit CA verifiziert werden und enthalt 
als letztes Glied ein Zertifikat CertN auf den offentlichen 
Schlussel g s von der zweiten Computereinheit N. 

Die zweite Zertif ikatskette CertChain (N, U) kann von der 
zweiten Computereinheit N verifiziert werden und enthalt als 
letztes Glied ein Zertifikat CertU auf den offentlichen 
Schlussel KU von der ersten Computereinheit U. 

Die dritte Zertif ikatskette CertChain (N, CA) kann von der 
zweiten Computereinheit N verifiziert werden und enthalt als 
letztes Glied ein Zertifikat auf den offentlichen Verifikati- 
onsschlussels von der Zertif izierungscomputereinheit CA. 

Die erste Zertif ikatskette CertChain (U, N) und die zweite 
Zertif ikatskette CertChain (N, U) konnen eindeutig identifi- 
ziert werden durch die Identif ikatoren cidU und cidN. 

Anschliefiend wird aus mindestens einer Verkettung des ersten 
Werts gt und der Identif ikatoren cidU und cidN 
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ein dritter Term gebildet. 

Der. dritte Term wird mit Hilfe einer vierten Hash-Funktion h4 
"gehasht" und das Ergebnis der Hash-Funktion h4 wird unter 
Verwendung einer dritten Signaturf unktion Sig CA signiert. 

Weiterhin wird in der Zertif izierungscomputereinheit CA ein 
Zeitstempel TS kreiert. Dieser findet optional Eingang in den 
dritten Term. 

Eine in der Zertif izierungscomputereinheit CA gebildete fiinf- 
te Nachricht M5 weist mindestens eine Verkettung aus dem si- 
gnierten dritten Term und den Zertif ikatsketten CertChain(U, 
N) und CertChain (N, U) sowie optional den Zeitstempel TS und 
die Zertif ikatskette CertChain(N, CA) auf. Optional werden 
der signierte Hash-Wert des dritten Terms sowie die Zertifi- 
katskette CertChain (N, U) mit dem Zwischenschlussel L ver- 
schliisselt. 

Die funfte Nachricht M5 wird in der Zertif izierungscomputer- 
einheit CA codiert und an die zweite Computereinheit N uber- 
tragen (Schritt 305) . Nachdem die funfte Nachricht M5 in der 
zweiten Computereinheit N decodiert ist, wird der signierte 
Hash-Werts des dritten Terms verifiziert, sofern er nicht mit 
L verschlusselt ist. 

In der zweiten Computereinheit N wird nun ein vierter Term 
gebildet, der mindestens eine Verkettung der Zertif ikatskette 
CertChain (U, N) und des (optional mit dem Zwischenschlussel L 
verschlusselten) signierten Hash-Werts des dritten Terms auf- 
weist . 

In der zweiten Computereinheit N wird mit Hilfe der ersten 
Hash-Funktion hi ein Si t zungsschliissel K gebildet. Als eine 
erste EingangsgroBe der ersten Hash-Funktion hi wird eine Ko- 
katenation eines ersten Terms mit der zweiten Zufallszahl r 
verwendet. Der erste Term wird gebildet, indem der erste Wert 
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g fc potenziert wird mit einem geheimen Netzschliissel s. Die 
zweite Zufallszahl r findet Verwendung, wenn das zusatzliche 
Sicherheitsziel der Zusicherung der Frische (Aktualitat) des 
Sitzungsschlussels K fur die zweiten Computereinheit N reali- 
5 siert werden soli. 1st dieses Sicherheitsziel nicht benotigt, 
wird die zweite Zufallszahl r nicht in dem Verfahren zur Be-' 
rechnung des Sitzungsschlussels K verwendet. 

In der zweiten Computereinheit N wird eine Antwort A gebil- 
10 det. Zur Bildung der Antwort A sind die in dem ersten Ausfiih- 
rungsbeispiel beschriebenen Varianten vorgesehen. 

Eine Aneinanderreihung der zweiten Zufallszahl r, des vierten 
Terms, der Antwort A, sowie eines optionalen ersten Datenfel- 
des datl und des optionalen Zeitstempels bilden eine zweite 
Nachricht M2. Das optionale erste Datenfeld datl ist nur in 
der zweiten Nachricht M2 enthalten, wenn dies in dem Verfah- 
ren vorgesehen wird. 



15 



20 



Die zweite Nachricht M2 wird in der zweiten Computereinheit N 
codiert und zu der ersten Computereinheit U iibertragen 
(Schritt 306) . 
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In der ersten Computereinheit U wird die zweite Nachricht M2 
decodiert, so dafi die ersten Computereinheit U die zweite Zu- 
fallszahl r, die Antwort A sowie eventuell das optionale er- 
ste Datenfeld datl und eventuell den Zeitstempel TS zur Ver- 
fiigung hat. Die Lange des optionalen ersten Datenfeldes datl 
kann beliebig grofi sein, d.h. es ist auch moglich, dafi das 
optionale erste Datenfeld datl nicht vorhanden ist. 

In der ersten Computereinheit U wird nun ebenfalls der Sit- 
zungsschlussel K gebildet (Schritt 307), mit Hilfe der ersten 
Hash-Funktion hi, die sowohl der zweiten Computereinheit N 
als auch der ersten Computereinheit U bekannt ist. Eine zwei- 
te Eingangsgrofie der ersten Hash-Funktion hi zur Bildung des 
Sitzungsschlussels K in der ersten Computereinheit U weist 
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minciestens einen zweiten Term auf. Der zweite Term wird ge- 
bildet aus einer Exponentation eines offentlichen Netzschlus- 
sels g s mit der ersten Zufallszahl t. Wenn die zweite Zu- 
fallszahl r in dem Verfahren zur Berechnung des Sitzungs- 
schlussels K vorgesehen wird, so weist die zweite Eingangs- 
grofle der ersten Hash-Funktion hi zur Bildung des Sitzungs- 
schlussels K in der ersten Computereinheit U zusatzlich die 
zweite Zufallszahl r auf. 

Nachdem in der ersten Computereinheit U der Sitzungsschlussel 
K gebildet wurde, wird anhand der empfangenen Antwort A iiber- 
priift, ob der in der ersten Computereinheit U gebildete Sit- 
zungsschlussel K mit dem Sitzungsschlussel K, der in der 
zweiten Computereinheit N gebildet wurde, ubereinstimmt 
(Schritt 308) . 

Abhangig von den im vorigen beschriebenen Varianten zur Bil- 
dung der Antwort A sind die oben beschriebenen Moglichkeiten 
vorgesehen, den Sitzungsschlussel K anhand der Antwort A zu 
iiberpruf en. 

Dadurch, daii bei der Berechnung des Sitzungsschltissels K in 
der zweiten Computereinheit N der geheime Netzschlussel s und 
bei der Berechnung des Sit zungsschlussels K in der ersten 
Computereinheit U der offentliche Netzschlussel g s verwendet 
werden, wird die zweiten Computereinheit N durch die ersten 
Computereinheit U authentif iziert . Dies wird erreicht, vor- 
ausgesetzt dafi fur dieerste Computereinheit U bekannt ist, 
da£ der offentliche Netzschlussel g s tatsachlich zur zweiten 
Computereinheit N gehort. Letzteres wird von U erreicht durch 
die Verifikation der Zertif ikatskette CertChain (U, N) sowie 
des signierten Hashwerts des dritten Terms. Ist letzterer mit 
dem Zwischenschlussel L verschlusselt , muli er vor der Verifi- 
kation mit dem Zwischenschlussel L entschlusselt werden. 

Im Anschlufl an die Bestatigung des Sitzungsschlussels K durch 
Oberprufung der Antwort A wird ein Signaturterm berechnet 
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(Schritt 309) . Hierzu wird mit Hilfe einer dritten Hash- 
Funktion h3 eine vierte Eingangsgrbfie gebildet. Die dritte 
Hash-Funktion h3 kann, mufi aber nicht dieselbe Hash-Funktion 
sein wie die erste Hash-Funktion hi und/oder die zweite Hash- 
Funktion h2. Als eine dritte Eingangsgrofie fur die dritte 
Hash-Funktion h3 wird ein Term verwendet, der eine oder wei- 
tere Grofien aufweist, aus denen auf den Sitzungsschliissel 
eindeutig riickgeschlossen werden kann. Weiterhin kann die 
dritte Eingangsgrofie das optionale erste Datenfeld datl oder 
auch ein optionales zweites Datenfeld dat2 enthalten, wenn 
deren Verwendung in dem Verfahren vorgesehen wird. 

Solche Grofien sind der erste Wert gt, der offentliche Netz- 
schliissel g s sowie die zweite Zufallszahl r. 

Es kann spater nicht abgestritten werden, dafi die Daten, die 
im ersten optionale Datenfeld datl und im zweiten optionalen 
Datenfeld dat2 enthalten sind, von der ersten Computereinheit 
U gesendet werden. 

Die in dem ersten optionalen Datenfeld datl und in dem zwei- 
ten optionalen Datenfeld dat2 enthaltenen Daten konnen Tele- 
fonnummern, die aktuelle Zeit oder ahnliche hierfiir geeignete 
Parameter sein. Diese Information kann als Werkzeug fur eine 
unanfechtbare Gebiihrenabrechnung verwendet werden. 

Unter Verwendung einer ersten Signaturfunktion Sig y wird der 
Signaturterm aus mindestens der vierten Eingangsgrofie gebil- 
det. Urn einen hSheren Sicherheitsgrad zu erzielen, kann der 
Signaturterm verschliisselt werden. Der Signaturterm wird in 
diesem Fall mit dem Sitzungsschliissel K unter Verwendung der 
Verschlusselungsfunktion Enc verschliisselt und bildet den er- 
sten verschlusselten Term VT1. 

Bei Verwendung eines optionalen zweiten Datenfeldes dat2 wird 
in der ersten Computereinheit U ein dritter verschlussel ter 
Term VT3 berechnet, indem das optionale zweite Datenfeld dat2 
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mit dem Sitzungsschltissel K unter Verwendung der Verschlusse- 
lungsfunktion Enc verschlusselt wird. Das optionale zweite 
Datenfeld dat2 kann auch unverschliisselt , also im Klartext 
iibertragen werden. 

Alternativ zur Bildung des ersten und des dritten verschltis- 
selten Terms VT1 und VT3 kann auch ein vierter verschliissel- 
ten Term VT4 gebildet werden, indem mindestens die Verkettung 
des Signaturterms sowie optional des Datenfeldes dat2 und des 
Zwischenschlussels L mit dem Sitzungsschltissel K verschlus- 
selt wird (Schritt 310) . 

In der ersten Computereinheit U wird eine dritte Nachricht M3 
gebildet und codiert, die mindestens aus dem ersten ver- 
schlusselten Term VT1, und, wenn das optionale zweite Daten- 
15 feld dat2 verwendet wird, dem dritten verschlusselten Term 
VT3 oder dem optionalen zweiten Datenfeld dat2 im Klartext, 
oder aber aus dem vierten verschlusselten Term VT4 besteht. 



10 



20 



Die dritte Nachricht M3 wird von der ersten Computereinheit U 
zu der zweiten Computereinheit N ubertragen (Schritt 311). 
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In der zweiten Computereinheit N wird die dritte Nachricht M3 
decodiert und anschliefiend wird der erste verschliisselte Term 
VT1 sowie eventuell der dritte verschliisselte Term VT3, oder 
aber der vierte verschliisselte Term VT4 entschliisselt . Wurden 
Telle der Nachricht M5 mit L verschlusselt, so kann nun die 
zweite Computereinheit N mit Hilfe des in Nachricht M3 emp- 
fangenen Zwischenschlussels L die verschlusselten Telle der 
Nachricht M5 entschlusseln . Daraufhin kann die zweite Compu- 
tereinheit N die zweite Zertif ikatskette Cert (N, U) sowie den 
signierten Hashwert des dritten Terms unter Anwendung des of- 
fentlichen Verif ikationsschltissels von CA verif izieren . An- 
hand des Benuterzertif ikats CertU, das der zweiten Compu- 
tereinheit N nun zur Verfiigung steht, wird der Signaturterm 
verif iziert . 
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Zusatzlich wird die Authentif ikation der ersten Computerein- 
heit U gegentiber der zweiten Computereinheit N durch den Si- 
gnaturterm in der dritten Nachricht M3 gewahrleistet, der die 
Zufallszahl r enthalt, durch deren Verwendung auch garantiert 
wird, dafi die dritte Nachricht M3 tatsachlich aktuell von der 
ersten Computereinheit U gesendet wurde. 

Wenn fur das Verfahren temporare Benutzeridentitaten vorgese- 
hen werden, so wird das im vorigen beschriebene Verfahren um 
einige Verf ahrensschritte erweitert. 

In der zweiten Computereinheit N wird fur die erste Compu- 
tereinheit U eine neue temporare Identitatsgrofle TMUIN gebil- 
det, die der ersten Computereinheit U im weiteren zugewiesen 
wird. Dies kann z . B . durch Generierung einer Zufallszahl 
Oder durch Tabellen, in denen mogliche IdentitatsgroAen abge- 
speichert sind, durchgefuhrt werden. Aus der neuen temporaren 
Identitatsgrofle TMUIN der ersten Computereinheit U wird in 
der zweiten Computereinheit N ein funfter verschlusselter 
Term VT5 gebildet, indem die neue temporare Identitatsgrofle 
TMUIN der ersten Computereinheit U mit dem Si tzungsschliissel 
K unter Verwendung der Verschliisselungsfunktion Enc ver- 
schlusselt wird. 

In diesem Fall weistdie zweite Nachricht M2 zusatzlich min- 
destens den fiinften verschliisselten Term VT5 auf . Der funfte 
verschlusselte Term VT5 wird dann in der ersten Computerein- 
heit U entschliisselt. Nun ist die neue temporare Identitats- 
grofle TMUIN der ersten Computereinheit U in der ersten Compu- 
tereinheit U verfugbar. 

Damit der zweiten Computereinheit N auch gewahrleistet wird, 
dafi die erste Computereinheit U die neue temporare Identi- 
tatsgrefle TMUIN korrekt empfangen hat, weist die dritte Ein- 
gangsgrofle fur die erste Hash-Funktion hi oder fur die zweite 
Hash-Funktion h2 zusatzlich mindestens die neue temporare 
Identitatsgrofle TMUIN der ersten Computereinheit U auf. 
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Im weiteren werden einige Alternativen der oben beschriebenen 
Ausfiihrungsbeispiele aufgezeigt: 

Die Erfindung beschrankt sich nicht auf ein Mobilf unksystem 
und somit auch nicht auf einen Benutzer eines Mobilfunksy- 
s terns und das Netz, sondern kann in alien Bereichen angewen- 
det werden, in denen ein kryptographischer Schliisselaustausch 
zwischen zwei Kommunikationspartnern bendtigt wird. Dies kann 
z.B. in einer Kommunikationsbeziehung zwischen zwei Rechnern, 
die Daten in verschlusselter Form austauschen wollen, der 
Fall sein. Ohne Beschrankung der Allgemeingiiltigkeit wurde 
oben ein erster Kommunikationspartner als erste Computerein- 
heit U und ein zweiter Kommunikationspartner als zweite Com- 
putereinheit N bezeichnet. 
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Patentanspruche 

1. Verfahren zum rechnergestiitzten Austausch kryptographi- 
scher Schliissel zwischen einer ersten Computereinheit (U) und 
einer zweiten Computereinheit (N) , 

- bei dem aus einer ersten Zufallszahl (t) mit Hilfe eines 
erzeugenden Elements (g) einer endlichen Gruppe in der er- 
sten Computereinheit (U) ein erster Wert (gt) gebildet 
wird, 

- bei dem eine erste Nachricht (Ml) von der ersten Compu- 
tereinheit (U) an die zweite Computereinheit (N) ubertragen 
wird, wobei die ersten Nachricht (Ml) mindestens den ersten 
Wert (gt) aufweist, 

- bei dem in der zweiten Computereinheit (N) ein Sitzungs- 
schlussel (K) mit Hilfe einer ersten Hash-Funktion (hi) ge- 
bildet wird, wobei eine erste EingangsgroBe der ersten 
Hash-Funktion (hi) mindestens einen ersten Term aufweist, 
der gebildet wird durch eine Exponentiation des ersten 
Werts (gt) mit einem geheimen Netzschliissel (s), 

■ bei dem in der ersten Computereinheit (U) der Sitzungs- 
schliissel (K) gebildet wird mit Hilfe der ersten Hash- 
Funktion (hi), wobei eine zweite EingangsgroBe der ersten 
Hash-Funktion (hi) mindestens einen zweiten Term aufweist, 
der gebildet wird durch eine Exponentiation eines offentli- 
chen Netzschlussels (gS) mit der ersten Zufallszahl (t) , 
bei dem in der ersten Computereinheit (U) mit Hilfe einer 
zweiten Hash-Funktion (h2) oder der ersten Hash-Funktion 
(hi) eine vierte EingangsgroBe gebildet wird, wobei eine 
dritte EingangsgroBe fur die erste Hash-Funktion (hi) oder 
fur die zweite Hash-Funktion (h2) zur Bildung der vierten 
EingangsgroBe eine oder weitere GroBen aufweist, aus denen 
auf den Si tzungsschlUssel eindeutig rUckgeschlossen werden 
kann . 

bei dem in der ersten Computereinheit (U) ein Signaturterm 
aus mindestens der vierten EingangsgroBe gebildet wird un- 
ter Anwendung einer ersten Signaturf unktion (Sigy) , 
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- bei dem eine dritte Nachricht (M3) von der ersten Compu- 
tereinheit (U) an die zweite Computereinhei t (N) ubertragen 
wird, wobei die dritte Nachricht (M3) mindestens den Signa- 
turterm der ersten Computereinheit (U) aufweist, und 

- bei dem in der zweiten Computereinheit (N) der Signaturterm 
verifiziert wird. 

2. Verfahren nach Anspruch 1, 

bei dem der geheime Netzschlussel und/oder der offentliche 
Netzschlussel langlebige Schlussel ist/sind. 

3. Verfahren nach Anspruch 1 oder 2, 

bei dem die dritte Eingangsgrofle mehrere Grofien aufweist, aus 
denen auf den Sitzungsschliissel eindeutig rUckgeschlossen 
werden kann. 



4. Verfahren nach einem der Anspruche 1 bis 3, 

bei dem die GroJJe bzw. die Grofien mindestens zumindest den 
ersten Wert (g t ) und/oder den offentlichen Netzschlussel (gS) 
enthalt bzw. enthalten. 

5. Verfahren nach einem der Anspruche 1 bis 4, 

- bei dem die erste Nachricht (Ml) eine Identitatsangabe 
(id c x) einer Zertif izierungscomputereinheit (CA) , die ein 
Netzzertifikat (CertN) oder eine Kette von Zertif ikaten, 
deren letztes das Netzzertifikat (CertN) ist, liefert, das 
oder die von der ersten Computereinheit (U) verifiziert 
werden kann, aufweist, 

- bei dem eine zweite Nachricht (M2) von der zweiten Compu- 
tereinheit (N) an die erste Computereinheit (U) ubertragen 
wird, wobei die zweite Nachricht (M2) mindestens das Netz- 
zertifikat (CertN) oder die Kette von Zerti f ikaten, deren 
letztes das Netzzertifikat (CertN) ist, aufweist, und 

- bei dem in der ersten Computereinheit (U) das Netzzertifi- 
kat (CertN) oder die Kette von Zertifikaten, deren letztes 
das Netzzertifikat (CertN) ist, verifiziert wird. 
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6. Verfahren nach Anspruch 5, 

- bei dem eine dritte Nachricht (M3) von der ersten Compu- 
tereinheit (U) an die zweite Computereinheit (N) ubertragen 
wird, wobei die dritte Nachricht (M3) ein Benutzerzertif i- 
kat (CertU) oder eine Kette von Zertif ikaten, deren letztes 
das Benutzerzertifikat (CertU) ist, aufweist, 

- bei dem in der zweiten Computereinheit (N) das Benutzerzer- 
tifikat (CertU) oder die Kette von Zertif ikaten, deren 
letztes das Benutzerzertifikat (CertU) ist, verifiziert 
wird. 



7. Verfahren nach einem der Anspriiche 1 bis 6, 

- bei dem die erste Nachricht (Ml) eine Identitatsgrofie 
(IMUI) der ersten Computereinheit (U) und eine Identitats- 
angabe (id CA ) einer Zertif izierungscomputereinheit (CA) , 
die der ersten Computereinheit (U) ein Netzzertif ikat 
(CertN) liefert, das von der ersten Computereinheit (U) ve- 
rifiziert werden kann, aufweist, 

- bei dem eine vierte Nachricht (M4) von der zweiten Compu- 
tereinheit (N) an die Zertif izierungscomputereinheit (CA) 
ubertragen wird, wobei die vierte Nachricht (M4) mindestens 
den ersten Wert (gt) a ls Eingangsgrofle aufweist, 

- bei dem eine fiinfte Nachricht (M5) , die mindestens das 
Netzzertifikat (CertN) oder eine Zertif ikatskette, deren 
letztes Glied das Netzzertifikat (CertN) ist, oder das Be- 
nutzerzertifikat (CertU) oder eine Zertif ikatskette, deren 
letztes Glied das Benutzerzertifikat (CertU) ist, aufweist, 
von der Zertif izierungscomputereinheit (CA) zu der zweiten 
Computereinheit (N) Ubertragen wird, 



8. Verfahren nach einem der Anspriiche 1 bis 7, 
- bei dem eine vierte Nachricht (M4) von der zweiten Compu- 
tereinheit (N) an die Zertif izierungscomputereinheit (CA) 
ubertragen wird, wobei die vierte Nachricht (M4) mindestens 
den offentlichen Netzschlussel (gS) , den ersten Wert (gt) , 
die Identitatsgrofie (IMUI) der ersten Computereinheit (U) 



98 P 1764 



42 

als Eingangsgrofie aufweist und wobei eine Ausgangsgrdfie ei 
ner dritten Hash-Funktion (h3) unter Verwendung einer zwei 
ten Signaturfunktion (Sig N ) signiert wird, 

- bei dem in der Zertif izierungscomputereinheit (CA) der er- 
ste signierte Term verifiziert wird, 

- bei dem in der Zertif izierungscomputereinheit (CA) ein 
dritter Term gebildet wird, der mindestens den ersten Wert 
(g t ) , den offentlichen NetzschlUssel (g s ) und eine Identi- 
tatsangabe (id N ) der zweiten Computereinheit (N) aufweist, 

- bei dem in der Zertif izierungscomputereinheit (CA) unter 
Verwendung einer vierten Hash-Funktion (h4) ein Hash-Wert 
uber" den dritten Term gebildet wird, 

bei dem in der Zertif izierungscomputereinheit (CA) der 

Hash-Wert Uber den dritten Term unter Verwendung einer 

dritten Signaturfunktion (Sig cA ) signiert wird, 

bei dem in der Zertif izierungscomputereinheit (CA) ein 

Netzzertifikat (CertN) gebildet wird, das mindestens den 

dritten Term und den signierten Hash-Wert des dritten Terms 

aufweist, 

bei dem in der Zertif izierungscomputereinheit (CA) auf ei- 
nen funften Term der mindestens die Identitatsangabe (id N ) 
der zweiten Computereinheit (N) und ein Benut zerzertif ikat 
(CertU) aufweist, eine vierte Hash-Funktion (h4) angewendet 
wird, 

bei dem der Hash-Wert des funften Terms durch Verwendung 
der dritten Signaturfunktion (Sig CA ) mit dem geheimen Zer- 
tif izierungsschlussel (cs) signiert und das Ergebnis den 
zweiten signierten Term darstellt, 

bei dem eine fUnfte Nachricht (M5) , die mindestens das 
Netzzertifikat (CertN), den funften Term und den zweiten 
signierten Term aufweist, von der Zertif izierungscompu- 
tereinheit (CA) zu der zweiten Computereinheit (N) iibertra- 
gen wird, 

bei dem in der zweiten Computereinheit (N) das Netzzertifi- 
kat (CertN) und der zweite signierte Term verifiziert wer- 
den, 
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- bei dem in der zweiten Computereinheit (N) ein vierter 
Term, der mindestens den offentlichen Netzschlussel (g s ) 
und den signierten Hash-Wert des dritten Terms aufweist, 
gebildet wird, 

- bei dem eine zweite Nachricht (M2) von der zweiten Compu- 
tereinheit (N) an die erste Computereinheit (U) tibertragen 
wird, wobei die zweite Nachricht (M2) mindestens den vier- 
ten Term aufweist, und 

- bei dem in der ersten Computereinheit (U) das Netzzertifi- 
kat (CertN) verifiziert wird. 

9. Verfahren nach einem der Ansprtiche 1 bis 8, 

- bei dem die erste Nachricht (Ml) eine Identitatsgrofie 
(IMUI) der ersten Computereinheit (U) und eine Identitats- 
angabe (id CA ) einer Zertif izierungscomputereinheit (CA) , 
die der ersten Computereinheit (U) ein Netzzertif ikat 
(CertN). oder eine Kette von Zertif ikaten, deren letztes das 
Netzzertifikat (CertN) ist, liefert, das oder die von der 
ersten Computereinheit (U) verifiziert werden kann oder 
konnen, aufweist, 

bei dem eine vierte Nachricht (M4) von der zweiten Compu- 
tereinheit (N) an die Zertif izierungscomputereinheit (CA) 
ubertragen wird, wobei die vierte Nachricht (M4) mindestens 
ein Zertif ikat auf den offentlichen Netzschlussel (g s ) , den 
ersten Wert (gt)und die Identitatsgroile (IMUI) der ersten 
Computereinheit (U) aufweist, 

bei dem in der Zertif izierungscomputereinheit (CA) ein 
dritter Term gebildet wird, der mindestens den offentlichen 
Netzschlussel (g s )oder eine Grofle, die den offentlichen 
Netzschlussel (gS) eindeutig bestimmt, aufweist, 
bei dem in der Zertif izierungscomputereinheit (CA) unter 
Verwendung einer vierten Hash-Funktion (h4) ein Hash-Wert 
iiber den dritten Term gebildet wird, 

bei dem in der Zertif izierungscomputereinheit (CA) der 
Hash-Wert iiber den dritten Term unter Verwendung einer 
dritten Signaturf unktion (Sig C A) signiert wird, 
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- bei dem eine fttnfte Nachricht (M5) , die mindestens den si- 
gnierten Hash-Wert uber den dritten Term aufweist, von der 
Zertifizierungscomputereinheit (CA) zu der zweiten Compu- 
tereinheit (N) ttbertragen wird, 

- bei dem in der zweiten Computereinheit (N) der signierte 
Hash-Wert liber den dritten Term verifiziert wird, 

- bei dem eine zweite Nachricht (M2) von der zweiten Compu- 
tereinheit (N) an die erste Computereinheit (U) ubertragen 
wird, wobei die zweite Nachricht (M2) mindestens den si- 
gnierten Hash-Wert uber den dritten Term aufweist, und 

- bei dem in der ersten Computereinheit (U) der signierte 
Hash-Wert uber den dritten Term verifiziert wird. 

10. Verfahren nach Anspruch 9, 

bei dem der dritte Term einen offentlichen Benutzersignatur- 
schlussel (KU) oder eine Grofle, die den Benutzersignatur- 
schlttssel (KU) eindeutig bestimmt, aufweist. 

11. Verfahren nach Anspruch 9 oder 10, 

bei dem die fttnfte Nachricht (M5) sowie die zweite Nachricht 
(M2) mindestens eine Kette von Zertifikaten aufweist. 

12. Verfahren nach Anspruch 8, 

bei dem der fttnfte Term einen Zeitstempel (TS) aufweist. 

13. Verfahren nach einem der Ansprttche 9 bis 12, 

bei dem der dritte Term einen Zeitstempel (TS) aufweist. 

14. Verfahren nach einem der Ansprttche 7 bis 13, 

- bei dem in der ersten Computereinheit (U) vor Bildung der 
ersten Nachricht (Ml) ein Zwischenschlttssel (L) gebildet 
wird, indem ein offentlicher Schlusselvereinbarungsschlus- 
sel (gU) mit der ersten Zufallszahl (t) potenziert wird, 

- bei dem in der ersten Computereinheit (U) vor Bildung der 
ersten Nachricht (Ml) aus der Identitatsgrofie (IMUI) der 
ersten Computereinheit (U) ein zweiter verschlusselter Term 
(VT2) gebildet wird, indem die Identitatsgrdfle (IMUI) mit 
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dem Zwischenschlussel (L) unter Anwendung einer Verschlus- 
selungsfunktion (Enc) verschltisselt wird, 

- bei dem die erste Nachricht (Ml) anstatt der Identi tatsgro 
lie (IMUI) der ersten Computereinheit (U) den zweiten ver- 
schliisselten Term (VT2) aufweist, 

- bei dem die vierte Nachricht (M4) anstatt der Identitats- 
grofie (IMUI) der ersten Computereinheit (U) den zweiten ver- 
schlusselten Term (VT2) aufweist. 

15. Verfahren nach einem der Anspriiche 7 bis 14, 

bei dem in der funften Nachricht (M5) das Netzzertif ikat 
(CertN) oder eine Zertif ikatskette, deren letztes Glied das 

Netzzertifikat (CertN) ist, oder das Benutzerzertif ikat 
(CertU) oder eine Zertif ikatskette, deren letztes Glied das 

Benutzerzertif ikat (CertU) ist, mit L verschltisselt ist. 

16. Verfahren nach einem der Anspriiche 7 bis 15, 

bei dem in der Zertif izierungscomputereinheit (CA) mindestens 
eine der Grofien, die Identitatsangabe (id N ) der zweiten Com- 
putereinheit (N), die Identitatsgrofie (IMUI) der ersten Compu- 
tereinheit (U) , der offentliche Netzschliissel (g s ) , das Netz- 
zertifikat (CertN) oder das Benutzerzertif ikat (CertU) anhand 
einer Revokationsliste uberpruft wird. 

17. Verfahren nach einem der Anspriiche 1 bis 16, 

- bei dem die erste Nachricht (Ml) mindestens eine alte tem- 
porare IdentitatsgroJie (TMUIO) der ersten Computereinheit 
(U) aufweist, 

- bei dem in der zweiten Computereinheit (N) , nachdem die er- 
ste Nachricht (Ml) empfangen wurde und bevor die zweite 
Nachricht (M2) gebildet wird, fur die erste Computereinheit 
(U) eine neue temporare Identitatsgro/ie (TMUIN) gebildet 
wird, 

- bei dem aus der neuen temporaren Identitatsgrofte (TMUIN) 
der ersten Computereinheit (U) ein fiinfter verschlusselter 
Term (VT5) gebildet wird, in dem die neue temporare Identi- 
tatsgrofle (TMUIN) der ersten Computereinheit (U) mit dem 
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Sitzungschliissel (K) unter Anwendung der Verschlusselungs- 
funktion (Enc) verschliissel t wird, 

- bei dem die zweite Nachricht (M2) mindestens den fiinften 
verschltisselten Term (VT5) aufweist, 

- bei dem in der ersten Computereinheit (U) , nachdem die 
zweite Nachricht (M2) empfangen wurde und bevor die vierte 
Eingangsgrofie gebildet wird, der fiinfte verschlusselte Term 
(VT5) entschliisselt wird, 

- bei dem die dritte Eingangsgrofie fur die erste Hash- 
Funktion (hi) oder fur die zweite Hash-Funktion (h2) zur 
Bildung der vierten Eingangsgrofie mindestens die neue tem- 
porare Identitatsgrofie (TMUIN) der ersten Computereinheit 
(U) aufweist, und 

- bei dem die dritte Nachricht (M3) nicht die Identitatsgrofie 
(IMUI) der ersten Computereinheit (U) aufweist. 

18. Verfahren nach einem der Anspruche 1 bis 17, 

- bei dem in der zweiten Computereinheit (N) eine Information 
zu dem Sit zungsschliissel (K) enthaltende Antwort (A) gebil- 
det wird, 

- bei dem eine zweite Nachricht (M2) von der zweiten Compu- 
tereinheit (N) an die erste Computereinheit (U) iibertragen 
wird, wobei die zweite Nachricht (M2) mindestens die Ant- 
wort (A) aufweist, und 

- bei dem in der ersten Computereinheit (U) der Sitzungs- 
schlussel (K) anhand der Antwort (A) uberpriift wird. 

19. Verfahren nach einem der Anspruche 1 bis 18, 

bei dem die dritte Nachricht (M3) eine Identitatsgrofie (IMUI) 
der ersten Computereinheit (U) aufweist. 

20. Verfahren nach einem der Anspruche 1 bis 19, 

- bei dem in der zweiten Computereinheit (N) die erste Ein- 
gangsgrofie der ersten Hash-Funktion (hi) mindestens eine 
zweite Zufallszahl (r) aufweist, 

- bei dem die zweite Nachricht (M2) die zweite Zufallszahl 
(r) aufweist, und 
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- bei dem in der ersten Computereinhei t (U) die zweite Ein- 
gangsgroBe der ersten .Hash-Funktion (hi) mindestens die 
zweite Zufallszahl (r) aufweist. 

21. Verfahren nach einem der Anspruche 1 bis 20, 

bei dem die Grofle bzw. die Grofien wie in Anspruch 3 die zwei- 
te Zufallszahl (r) enthalt bzw. enthalten. 

22. Verfahren nach einem der Anspruche 1 bis 21, 

- bei dem in der ersten Computereinheit (U) vor Bildung der 
dritten Nachricht (M3) aus der IdentitatsgroBe (IMUI) der 
ersten Computereinheit (U) ein zweiter verschltisselter Term 
(VT2) gebildet wird, in dem mindestens die IdentitatsgroBe 
(IMUI) mit dem Sitzungsschlussel (K) unter Anwendung der 

Verschlusselungsfunktion (Enc) verschlusselt wird, 

- bei dem die dritte Nachricht (M3) den zweiten verschlussel- 
ten Term (VT2) aufweist, und 

- bei dem in der zweiten Computereinheit (N) , nachdem die 
dritte Nachricht (M3) empfangen wurde, der zweite ver- 
schlusselte Term (VT2) entschliisselt wird. 

23. Verfahren nach einem der Anspruche 1 bis 22, 

- bei dem die zweite Nachricht (M2) ein optionales erstes Da- 
tenfeld (datl) aufweist und 

- bei dem die dritte EingangsgroBe fur die erste Hash- 
Funktion (hi) oder fur die zweite Hash-Funktion (h2) zur 
Bildung der vierten EingangsgroBe mindestens das optionale 
erste Datenfeld (datl) aufweist. 

24. Verfahren nach einem der Anspruche 1 bis 23, 

- bei dem in der ersten Computereinheit (U) vor Bildung der 
dritten Nachricht (M3) ein dritter verschliissel ter Term 
(VT3) gebildet wird, indem mindestens ein optionales zwei- 
tes Datenfeld (dat2) mit dem Sitzungsschlussel (K) unter 
Anwendung der Verschlusselungsfunktion (Enc) verschlusselt 
wird, 
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- bei dem die dritte Nachricht (M3) mindestens den dritten 
verschltisselten Term (VT3) aufweist, und 

- bei dem in der zweiten Computereinheit (N) , nachdem die 
dritte Nachricht (M3) empfangen wurde, der dritte ver- 
schlusselte Term (VT3) entschlusselt wird. 

25. Verfahren nach einem der Anspruche 1 bis 24, 

- bei dem in der ersten Computereinheit (U) vor Bildung der 
dritten Nachricht (M3) ein erster verschlusselter Term 
(VT1) gebildet wird, indem mindestens der Signaturterm un- 
ter Anwendung der Verschlusselungsf unktion (Enc) verschliis- 
selt wird, 

- bei dem die dritte Nachricht (M3) den ersten verschltissel- 
ten Term (VT1) aufweist, und 

- bei dem in der zweiten Computereinheit (N) , nachdem die 
dritte Nachricht (M3) empfangen wurde und bevor der Signa- 
turterm verifiziert wird, der erste verschlusselte Term 
(VT1) entschlusselt wird. 

26. Verfahren nach einem der Anspruche 1 bis 25, 

bei dem in der zweiten Computereinheit (N) eine Antwort (A) 
gebildet wird, indem eine Konstante (const), sowie eventuell 
weitere Grofien, die in der zweiten Computereinheit (N) und 
in der ersten Computereinheit (U) bekannt sind, mit dem Sit- 
zungsschlussel (K) unter Anwendung der Verschlusselungsf unk- 
tion (Enc) verschlusselt werden. 

27. Verfahren nach einem der Anspruche 1 bis 26, 

bei dem in der ersten Computereinheit (U) die Antwort (A) 
uberpruft wird, indem eine Konstante (const), sowie eventuell 
weitere GroJien, mit dem Sit zungsschliissel (K) unter Anwendung 
der Verschliisselungsfunktion (Enc) verschlusselt wird und das 
Ergebnis mit der Antwort (A) verglichen wird. 

28. Verfahren nach einem der Anspruche 1 bis 26, 

bei dem in der ersten Computereinheit (U) die Antwort (A) 
uberpruft wird, indem die Antwort (A) mit dem Sit zungsschliis- 
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sel (K) unter Anwenciung der Verschlusselungsf unktion (Enc) 
entschliisselt wird und eine entschlusselte Konstante (const') 
mit einer Konstante (const), sowie eventuell weiteren Groflen, 
verglichen wird, 

29. Verfahren nach einem der Anspruche 1 bis 2 8, 

- bei dem in der zweiten Computereinheit (N) eine Antwort (A) 
gebildet wird, indem eine dritte Hash-Funktion (h3) ange- 
wendet wird auf eine Eingangsgrofle, die mindestens den Sit- 
zungsschliissel (K) aufweist, und 

- bei dem in der ersten Computereinheit (U) die Antwort (A) 
uberpruft wird, indem die dritte Hash-Funktion (h3) ange- 
wendet wird auf die Eingangsgrofle, die mindestens den Sit- 
zungsschlussel (K) aufweist, und das Ergebnis mit der Ant- 
wort (A) verglichen wird. 

30. Verfahren nach einem der Anspruche 1 bis 29, 

bei dem die dritte Nachricht (M3) mindestens ein optionales 
zweites Datenfeld (dat2) aufweist. 

31. Verfahren nach einem der Anspruche 1 bis 30, 

bei dem die erste Computereinheit (U) durch ein mobiles Kom- 
munikationsendgerat und/oder die zweite Computereinheit (N) 
durch eine Authentif izierungseinheit in einem Mobil- 
Kommunikationsnetz gebildet wird/werden. 

32. Anordnung zum rechnergestiitzten Austausch kryptographi- 
scher Schlussel zwischen einer ersten Computereinheit (U) und 
einer zweiten Computereinheit (N) , bei der die erste Compu- 
tereinheit (U) und die zweite Computereinheit (N) derart ein- 
gerichtet sind, dafl folgende Verf ahrensschritte durchfuhrbar 
sind: 

- aus einer ersten Zufallszahl (t) wird mit Hilfe eines er- 
zeugenden Elements (g) einer endlichen Gruppe in der ersten 
Computereinheit (U) ein erster Wert (gt) gebildet, 

- eine erste Nachricht (Ml) wird von der ersten Computerein- 
heit (U) an die zweite Computereinheit (N) ubertragen, wo- 
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bei die ersten Nachricht (Ml) mindestens den ersten Wert 
(g fc ) aufweist, 

- in der zweiten Computereinhei t (N) wird ein Sit zungsschliis- 
sel (K) mit Hilfe einer ersten Hash-Funktion (hi) gebildet, 
wobei eine erste Eingangsgrofie der ersten Hash-Funktion 
(hi) mindestens einen ersten Term aufweist, der gebildet 
wird durch eine Exponentiation des ersten Werts (gt) m it 
einem geheimen Netzschlussel (s), 

- in der ersten Computereinheit (U) wird der Sitzungsschlus- 
sel (K) gebildet mit Hilfe der ersten Hash-Funktion (hi), 
wobei eine zweite Eingangsgrofie der ersten Hash-Funktion 
(hi) mindestens einen zweiten Term aufweist, der gebildet 
wird durch eine Exponentiation eines Sffentlichen Netz- 
schlussels (g s ) mit der ersten Zufallszahl (t) , 

- in der ersten Computereinheit (U) wird mit Hilfe einer 
zweiten Hash-Funktion (h2) oder der ersten Hash-Funktion 
(hi) eine vierte Eingangsgrofie gebildet wird, wobei eine 
dritte Eingangsgrofie fur die erste Hash-Funktion (hi) oder 
fur die zweite Hash-Funktion (h2) zur Bildung der vierten 
Eingangsgrofie eine oder weitere Grofien aufweist, aus denen 
auf den Sitzungsschlussel eindeutig ruckgeschlossen werden 
kann . 

- in der ersten Computereinheit (U) wird ein Signaturterm aus 
mindestens der vierten Eingangsgrofie gebildet unter Anwen- 
dung einer ersten Signaturfunktion (Sigy) , 

- eine dritte Nachricht (M3) wird von der ersten Computerein- 
heit (U) an die zweite Computereinheit (N) ubertragen, wo- 
bei die dritte Nachricht (M3) mindestens den Signaturterm 
der ersten Computereinheit (U) aufweist, und 

- in der zweiten Computereinheit (N) wird der Signaturterm 
verif iziert . 



33. Anordnung nach Anspruch 31, 

bei dem der geheime Netzschlussel und/oder der offentliche 
Netzschliissel langlebige Schlussel ist/sind. 

34. Anordnung nach Anspruch 32 oder 33, 
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bei der die erste Computereinheit (U) und die zweite Compu- 
tereinheit (N) derart eingerichtet sind, dafi die dritte Ein- 
gangsgrofie mehrere GrSBen aufweist, aus denen auf den Sit- 
zungsschliissel eindeutig ruckgeschlossen werden kann. 

35. Anordnung nach einem der Anspruce 32 bis 34, 

bei der die erste Computereinheit (U) und die zweite Compu- 
tereinheit (N) derart eingerichtet sind, dafi die Grofie bzw. 
die Groflen mindestens zumindest den ersten Wert (gt) und/oder 
den offentlichen Netzschliissel (gS) enthalt bzw. enthalten. 

36. Anordnung nach einem der Anspriiche 32 bis 35, 

bei der die erste Computereinheit (U) und die zweite Compu- 
tereinheit (N) derart eingerichtet sind, dafi folgende Verfah- 
rensschritte durchfuhrbar sind: 

- die erste Nachricht (Ml) weist eine Identitatsangabe (id CA ) 
einer Zertif izierungscomputereinheit (CA) , die ein Netzzer- 
tifikat (CertN) oder eine Kette von Zertif ikaten, deren 
letztes das Netzzertif ikat (CertN) ist, liefert, das oder 
die von der ersten Computereinheit (U) verifiziert werden 
kann, auf, 

- eine zweite Nachricht (M2) wird von der zweiten Compu- 
tereinheit (N) an die erste Computereinheit (U) ubertragen, 
wobei die zweite Nachricht (M2) mindestens das Netzzertif i- 
kat (CertN) oder die Kette von Zertif ikaten, deren letztes 
das Netzzertifikat (CertN) ist, aufweist, und 

- in der ersten Computereinheit (U) wird das Netzzertifikat 
(CertN) oder die Kette von Zertif ikaten, deren letztes das 
Netzzertifikat (CertN) ist, verifiziert wird. 

37. Anordnung nach Anspruch 36, 

bei der die erste Computereinheit (U) und die zweite Compu- 
tereinheit (N) derart eingerichtet sind, dafi folgende Verfah- 
rensschritte durchfuhrbar sind: 

- eine dritte Nachricht (M3) wird von der ersten Computerein- 
heit (U) an die zweite Computereinheit (N) ubertragen, wo- 
bei die dritte Nachricht (M3) ein Benutzerzertif ikat 
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(CertU) oder eine Kette von Zertif ikaten, deren letztes das 
Benutzerzertif ikat (CertU) ist, aufweist, 

- in der zweiten Computereinheit (N) wird das Benutzerzerti- 
fikat (CertU) oder die Kette von Zertif ikaten, deren letz- 
tes das Benutzerzertif ikat (CertU) ist, verifiziert. 

38. Anordnung nach einem der Anspruche 32 bis 37, 
bei der die erste Computereinheit (U) und die zweite Compu- 
tereinheit (N) derart eingerichtet sind, dafi folgende Verfah- 
rensschritte durchfuhrbar sind: 

- die erste Nachricht (Ml) weist eine Identitatsgrofie (IMUI) 
der ersten Computereinheit (U) und eine Identitatsangabe 
< icl CA> einer Zertif izierungscomputereinheit (CA) , die der 
ersten Computereinheit (U) ein Netzzertif ikat (CertN) lie- 
fert, das von der ersten Computereinheit (U) verifiziert 
werden kann, auf, 

- eine vierte Nachricht (M4) wird von der zweiten Compu- 
tereinheit (N) an die Zertif izierungscomputereinheit (CA) 
ubertragen, wobei die vierte Nachricht (M4) mindestens den 
ersten Wert (gt) als Eingangsgroiie aufweist, 

- eine funfte Nachricht (M5) , die mindestens das Netzzertif i- 
kat (CertN) oder eine Zertif ikatskette, deren letztes Glied 
das Netzzertifikat (CertN) ist, oder das Benutzerzertif ikat 
(CertU) oder eine Zertif ikatskette, deren letztes Glied das 
Benutzerzertifikat (CertU) ist, aufweist, wird von der Zer- 
tif izierungscomputereinheit (CA) zu der zweiten Compu- 
tereinheit (N) ubertragen, 

39. Anordnung nach einem der Anspruche 32 bis 38, 
bei der die erste Computereinheit (U) und die zweite Compu- 
tereinheit (N) derart eingerichtet sind, dafl folgende Verfah- 
rensschritte durchfuhrbar sind: 

- eine vierte Nachricht (M4) wird von der zweiten Compu- 
tereinheit (N) an die Zertif izierungscomputereinheit (CA) 
ubertragen, wobei die vierte Nachricht (M4 ) mindestens den 
offentlichen Net zschlussel (g s ) , den ersten Wert (gt)-, die 
Identitatsgrofie (IMUI) der ersten Computereinheit (U) als 
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EingangsgroiJe aufweist und wobei eine Ausgangsgrofie einer 
dritten Hash-Funktion (h3) unter Verwendung einer zweiten 
Signaturfunktion (Sig N ) signiert wird, 
■ in der Zertif izierungscomputereinheit (CA) wird der erste 
signierte Term verifiziert, 

in der Zertif izierungscomputereinheit (CA) wird ein dritter 
Term gebildet, der mindestens den ersten Wert (g t ) , den 6f- 
fentlichen Netzschlussel (g s ) und eine Identitatsangabe 
(id N ) der zweiten Computereinheit (N) aufweist, 
in der Zertif izierungscomputereinheit (CA) wird unter Ver- 
wendung einer vierten Hash-Funktion (h4) ein Hash-Wert uber 
den dritten Term gebildet, 

in der Zertif izierungscomputereinheit (CA) wird der Hash- 
Wert uber den dritten Term unter Verwendung einer dritten 
Signaturfunktion (Sig cA ) signiert, 

in der Zertif izierungscomputereinheit (CA) wird ein Netz- 
zertifikat (CertN) gebildet, das mindestens den dritten 
Term und den signierten Hash-Wert des dritten Terms auf- 
weist, 

in der Zertif izierungscomputereinheit (CA) wird auf einen 
fiinften Term, der mindestens die Identitatsangabe (id N ) der 
zweiten Computereinheit (N) und ein Benutzerzertif ikat 
(CertU) aufweist, eine vierte Hash-Funktion (h4) angewen- 
det, 

der Hash-Wert des fiinften Terms wird durch Verwendung der 
dritten Signaturfunktion (Sig CA ) mit dem geheimen Zertifi- 
zierungsschlussel (cs) signiert und das Ergebnis stellt den 
zweiten signierten Term dar, 

eine funfte Nachricht (M5) , die mindestens das Netzzertifi- 
kat (CertN) , den fiinften Term und den zweiten signierten 
Term aufweist, wird von der Zertif izierungscomputereinheit 
(CA) zu der zweiten Computereinheit (N) iibertragen, 
in der zweiten Computereinheit (N) werden das Netzzertifi- 
kat (CertN) und der zweite signierte Term verifiziert, 
in der zweiten Computereinheit (N) wird ein vierter Term, 
der mindestens den offentlichen Netzschlussel (g s ) und den 
signierten Hash-Wert des dritten Terms aufweist, gebildet, 
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- eine zweite Nachricht (M2) wird von der zweiten Compu- 
tereinheit (N) an die erste Computereinheit (U) ubertragen, 
wobei die zweite Nachricht (M2) mindestens den vierten Term 
aufweist, und 

- in der ersten Computereinheit (U) wird das Netzzertif ikat 
(CertN) verifiziert. 

40. Anordnung nach einem der Anspriiche 33 bis 39, 
bei der die erste Computereinheit (U) und die zweite Compu- 
tereinheit (N) derart eingerichtet sind, dafi folgende Verfah- 
rensschritte durchfiihrbar sind: 

- die erste Nachricht (Ml) weist eine Identitatsgrofle (IMUI) 
der ersten Computereinheit (U) und eine Identitatsangabe 
( id CA) einer Zertif izierungscomputereinheit <CA) , die der 
ersten Computereinheit (U) ein Netzzertif ikat (CertN) oder 
eine Kette von Zertif ikaten, deren letztes das Netzzertifi- 
kat (CertN) ist, liefert, das oder die von der ersten Com- 
putereinheit (U) verifiziert werden kann oder konnen, auf, 

- eine vierte Nachricht (M4) wird von der zweiten Compu- 
tereinheit (N) an die Zertif izierungscomputereinheit (CA) 
ubertragen, wobei die vierte Nachricht (M4 ) mindestens ein 
Zertifikat auf den offentlichen Netzschltissel (g s ) , den er- 
sten Wert (gt)und die IdentitatsgroBe (IMUI) der ersten 
Computereinheit (U) aufweist, 

in der Zertif izierungscomputereinheit (CA) wird ein dritter 
Term gebildet, der mindestens einen offentlichen Netz- 
schltissel (g s ) oder eine Grofle, die den offentlichen Netz- 
schltissel (g s ) eindeutig bestimmt, aufweist, 
in der Zertif izierungscomputereinheit (CA) wird unter Ver- 
wendung einer vierten Hash-Funktion (h4) ein Hash-Wert liber 
den dritten Term gebildet, 

in der Zertif izierungscomputereinheit (CA) wird der Hash- 
Wert uber den dritten Term unter Verwendung einer dritten 
Signaturfunktion (Sig C A) signiert, . 

eine funfte Nachricht (M5) , die mindestens den signierten 
Hash-Wert iiber den dritten Term aufweist, wird von der Zer- 
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tif izierungscomputereinheit (CA) zu der zweiten Compu- 
tereinheit (N) iibertragen, 

- in der zweiten Computereinheit (N) wird der signierte Hash 
Wert Uber den dritten Term verifiziert, 

- eine zweite Nachricht (M2) wird von der zweiten Compu- 
tereinheit (N) an die erste Computereinheit (U) ubertragen 
wobei die zweite Nachricht (M2) mindestens den den signier 
ten Hash-Wert Uber den dritten Term aufweist, und 

- in der ersten Computereinheit (U) wird der signierte Hash- 
Wert uber den dritten Term verifiziert. 

41. Anordnung nach Anspruch 4 0, 

bei der die erste Computereinheit (U) und die zweite Compu- 
tereinheit (N) derart eingerichtet sind, dafl folgende Verfah- 
rensschritte durchfuhrbar sind: 

der dritte Term weist den offentlichen Benutzersignatur- 
schltissel (KU)oder eine GroIJe, die den Benutzersignatur- 
schllissel (KU) eindeutig bestimmt, auf. 

42. Anordnung nach Anspruch 40 oder 41, 

bei der die erste Computereinheit (U) und die zweite Compu- 
tereinheit (N) derart eingerichtet sind, dali folgende Verfah- 
rensschritte durchfuhrbar sind: 

die ftinfte Nachricht (M5) sowie die zweite Nachricht (M2) 
weist mindestens eine Kette von Zertifikaten auf. 

43. Anordnung nach einem der Anspruche 38 bis 42, 

bei der die erste Computereinheit (U) und die zweite Compu- 
tereinheit (N) derart eingerichtet sind, dali folgende Verfah- 
rensschritte durchfuhrbar sind: 

der funfte Term weist einen Zeitstempel (TS) auf. 

44. Anordnung nach einem der Anspruche 38 bis 43, 

bei der die erste Computereinheit (U) und die zweite Compu- 
tereinheit (N) derart eingerichtet sind, dali folgende Verfah- 
rensschritte durchfuhrbar sind: 

der dritte Term weist einen Zeitstempel (TS) auf. 
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45. Anordnung nach einem der Anspruche 38 bis 44, 
bei der die erste Computereinheit (U) und die zweite Compu- 
tereinheit (N) derart eingerichtet sind, dafi folgende Verfah- 
rensschritte durchfuhrbar sind: 

- in der ersten Computereinheit (U) wird vor Bildung der er- 
sten Nachricht (Ml) ein Zwischenschlussel (L) gebildet 
wird, indem ein offentlicher Schlusselvereinbarungsschliis- 
sel (gU) mit der ersten Zufallszahl (t) potenziert, 

- in der ersten Computereinheit (U) wird vor Bildung der er- 
sten Nachricht (Ml) aus der IdentitatsgroBe (IMUI) der er- 
sten Computereinheit (U) ein zweiter verschlusselter Term 
(VT2 ) gebildet wird, indem die IdentitatsgroBe (IMUI) mit 
dem Zwischenschlussel (L) unter Anwendung einer Verschliis- 
selungsfunktion (Enc) verschlusselt, 

- die erste Nachricht (Ml) weist anstatt der IdentitatsgroBe 
(IMUI) der ersten Computereinheit (U) den zweiten verschltis- 
selten Term (VT2) auf, 

- bei dem die vierte Nachricht (M4) anstatt der Identitats- 
groBe (IMUI) der ersten Computereinheit (U) den zweiten ver- 
schlusselten Term (VT2) aufweist. 

46. Anordnung nach einem der Anspruche 38 bis 45, 
bei der die erste Computereinheit (U) und die zweite Compu- 
tereinheit (N) derart eingerichtet sind, daB folgende Verfah- 
rensschritte durchfuhrbar sind: 

- in der ftinften Nachricht (M5) ist das Netzzertif ikat 
(CertN) oder eine Zertif ikatskette, deren letztes Glied das 

Netzzertifikat (CertN) ist, oder das Benutzerzertif ikat 
(CertU) oder eine Zertif ikatskette, deren letztes Glied das 
Benutzerzertif ikat (CertU) ist, mit L verschlusselt. 

47. Anordnung nach einem der Anspruche 38 bis 4 6, 
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bei der die erste Computereinheit (U) und die zweite Compu- 
tereinheit (N) derart eingerichtet sind, daB folgende Verfah- 
rensschritte durchf iihrbar sind: 

in der Zertif izierungscomputereinheit (CA) wird mindestens 
eine der Groflen, die Identitatsangabe (id N ) der zweiten Com- 
putereinheit (N) , die IdentitatsgroBe (IMUI)der ersten Compu- 
tereinheit (U) , der offentliche Netzschliissel (g s ) , das Netz- 
zertifikat (CertN) oder das Benutzerzertif ikat (CertU) anhand 
einer Revokationsliste uberprtift. 

48. Anordnung nach einem der Anspriiche 32 bis 47, 
bei der die erste Computereinheit (U) und die zweite Compu- 
tereinheit (N) derart eingerichtet sind, dafi folgende Verfah- 
rensschritte durchf iihrbar sind: 

- die erste Nachricht (Ml) weist mindestens eine alte tempo- 
rare IdentitatsgroBe (TMUIO) der ersten Computereinheit (U) 
auf , 

- in der zweiten Computereinheit (N) wird, nachdem die erste 
Nachricht (Ml) empfangen wurde und bevor die zweite Nach- 
richt (M2) gebildet wird, fur die erste Computereinheit (U) 
eine neue temporare IdentitatsgroBe (TMUIN) gebildet, 

aus der neuen temporaren IdentitatsgrSBe (TMUIN) der ersten 
Computereinheit (U) wird ein funfte verschltisselter Term 
(VT5) gebildet, indem die neue temporare IdentitatsgroBe 
(TMUIN) der ersten Computereinheit (U) mit dem Sitzung- 
schlussel (K) unter Anwendung der Verschlusselungsf unktion 
(Enc) verschliisselt wird, 

die zweite Nachricht (M2) weist mindestens den funften ver- 
schlUsselten Term (VT5) auf, 

in der ersten Computereinheit (U) wird, nachdem die zweite 
Nachricht (M2 ) empfangen wurde und bevor die vierte Ein- 
gangsgrdfie gebildet wird, der funfte verschlusselte Term 
(VT5) entschlusselt, 

die dritte Eingangsgrofie fur die erste Hash-Funktion (hi) 
Oder fur die zweite Hash-Funktion (h2) zur Bildung der 
vierten EingangsgroBe weist mindestens die neue temporare 
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IdentitatsgrSBe (TMUIN) der ersten Computereinheit (U) auf, 
und 

- die dritte Nachricht (M3) weist nicht die Identi tatsgrdfie 
(IMUI) der ersten Computereinheit (U) auf. 

49. Anordnung nach einem der Anspriiche 32 bis 48, 
bei der die erste Computereinheit (U) und die zweite Compu- 
tereinheit (N) derart eingerichtet sind, dafi folgende Verfah- 
rensschritte durchfuhrbar sind: 

- in der zweiten Computereinheit (N) wird eine Information zu 
dem Sitzungsschliissel (K) enthaltende Antwort (A) gebildet, 

- eine zweite Nachricht (M2) wird von der zweiten Compu- 
tereinheit (N) an die erste Computereinheit (U) ubertragen, 
wobei die zweite Nachricht (M2) mindestens die Antwort (A) 
aufweist, und 

- in der ersten Computereinheit (U) wird der Sitzungsschliis- 
sel (K) anhand der Antwort (A) uberpriift. 

50. Anordnung nach einem der Anspriiche 32 bis 4 9, 

bei der die erste Computereinheit (U) und die zweite Compu- 
tereinheit (N) derart eingerichtet sind, dafi folgende Verfah- 
rensschritte durchfuhrbar sind: 

die dritte Nachricht (M3) weist eine Identitatsgroiie (IMUI) 
der ersten Computereinheit (U) auf. 

51. Anordnung nach einem der Anspriiche 32 bis 48, 

bei der die erste Computereinheit (U) und die zweite Compu- 
tereinheit (N) derart eingerichtet sind, daft folgende Verfah- 
rensschritte durchfuhrbar sind: 

- in der zweiten Computereinheit (N) weist die erste Ein- 
gangsgrofie der ersten Hash-Funktion (hi) mindestens eine 
zweite Zufallszahl (r) auf, 

- die zweite Nachricht (M2) weist die zweite Zufallszahl (r) 
auf, und 

- in der ersten Computereinheit (U) weist die zweite Ein- 
gangsgrofie der ersten Hash-Funktion (hi) mindestens die 
zweite Zufallszahl (r) auf. 
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52. Anordnung nach einem der Ansprtiche 32 bis 47, 
bei der die erste Computereinheit (U) und die zweite Compu- 
tereinheit (N) derart eingerichtet sind, daii die Grofie bzw. 
die Grofien nach Anspruch 34 die zweite Zufallszahl (r) ent- 
halt bzw. enthalten. 

53. Anordnung nach einem der Ansprtiche 32 bis 51, 
bei der die erste Computereinheit (U) und die zweite Compu- 
tereinheit (N) derart eingerichtet sind, dafi folgende Verfah- 
rensschritte durchfuhrbar sind: 

- in der ersten Computereinheit (U) wird vor Bildung der 
dritten Nachricht (M3) aus der Identitatsgrofie (IMUI) der 
ersten Computereinheit (U) ein zweiter verschliisselter Term 

15 (VT2) gebildet, indem mindestens die Identitatsgrofie (IMUI) 

mit dem Sitzungsschlussel (K) unter Anwendung der Ver- 
schlusselungsfunktion (Enc) verschltisselt wird, 

- die dritte Nachricht (M3) weist den zweiten verschlusselten 
Term (VT2) auf, und 

- in der zweiten Computereinheit (N) wird, nachdem die dritte 
Nachricht (M3) empfangen wurde, der zweite verschliisselte 
Term (VT2) entschlusselt . 



20 



25 



54. Anordnung nach einem der Anspriiche 32 bis 53, 
bei der die erste Computereinheit (U) und die zweite Compu- 
tereinheit (N) derart eingerichtet sind, daft folgende Verfah- 
rensschritte durchfuhrbar sind: 

- die zweite Nachricht (M2) weist ein optionales erstes Da- 
tenfeld (datl) auf, und 

- die dritte Eingangsgrofie fur die erste Hash-Funktion (hi) 
Oder far die zweite Hash-Funktion (h2) zur Bildung der 
vierten EingangsgroBe weist mindestens das optionale erste 
Datenfeld (datl) auf. 

35 55. Anordnung nach einem der Anspriiche 32 bis 54, 



30 
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bei der die erste Computer einheit (U) und die zweite Compu- 
tereinheit (N) derart eingerichtet sind, dafi folgende Verfah- 
rensschritte durchf iihrbar sind: 

- in der ersten Computereinheit (U) wird vor Bildung der 
5 dritten Nachricht (M3) ein dritter verschlusselter Term 

(VT3) gebildet, indem mindestens ein optionales zweites Da- 
tenfeld (dat2) mit dem Sitzungsschliissel (K) unter Anwen- 
dung der Verschlusselungsf unktion (Enc) verschliisselt wird, 

- die dritte Nachricht (M3) weist mindestens den dritten ver- 
10 schlusselten Term (VT3) auf, und 

- in der zweiten Computereinheit (N) wird, nachdem die dritte 
Nachricht (M3) empfangen wurde, der dritte verschlusselte 
Term (VT3) entschlUsselt . 

15 56. Anordnung nach einem der Anspruche 32 bis 55, 

bei der die erste Computereinheit (U) und die zweite Compu- 
tereinheit (N) derart eingerichtet sind, dafi folgende Verfah- 
rensschritte durchf tihrbar sind: 

- in der ersten Computereinheit (U) wird vor Bildung der 
20 dritten Nachricht (M3) ein erster verschlusselter Term 

(VT1) gebildet, indem mindestens der Signaturterm unter An- 
wendung der Verschlusselungsf unktion (Enc) verschlussel t 
wird, 

- die dritte Nachricht (M3) weist den ersten verschlusselten 
25 Term (VT1) auf, und 

- in der zweiten Computereinheit (N) wird, nachdem die dritte 
Nachricht (M3) empfangen wurde und bevor der Signaturterm 
verifiziert wird, der erste verschlusselte Term (VT1) ent- 
schltisselt . 

30 

57. Anordnung nach einem der Anspruche 32 bis 56, 
bei der die erste Computereinheit (U) und die zweite Compu- 
tereinheit (N) derart eingerichtet sind, dafi folgende Verfah- 
rensschritte durchfuhrbar sind: 
35 in der zweiten Computereinheit (N) wird eine Antwort (A) ge- 
bildet, indem eine Konstante (const), sowie eventuell weitere 
Grofien, die in der zweiten Computereinheit (N) und in der er- 
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sten Computereinheit (U) bekannt sind, mit dem Sitzungs- 
schltissel (K) unter Anwendung der Verschltisselungsf unktion 
(Enc) verschlUsselt wird. 

58. Anordnung nach einem der Anspruche 44 bis 57, 
bei der die erste Computereinheit (U) und die zweite Compu- 
tereinheit (N) derart eingerichtet sind, dali folgende Verfah- 
rensschritte durchfuhrbar sind: 

in der ersten Computereinheit (U) wird die Antwort (A) uber- 
pruft, indem eine Konstante (const) sowie eventuell weitere 
Grofien, mit dem Sitzungsschltissel (K) unter Anwendung der 
Verschlusselungsfunktion (Enc) verschliisselt wird und das Er- 
gebnis mit der Antwort (A) verglichen wird. 

59. Anordnung nach einem der Anspruche 44 bis 57, 
bei der die erste Computereinheit (U) und die zweite Compu- 
tereinheit (N) derart eingerichtet sind, da* folgende Verfah- 
rensschritte durchfuhrbar sind: 

in der ersten Computereinheit (U) wird die Antwort (A) iiber- 
priift, indem die Antwort (A) mit dem Sitzungsschltissel (K) 
unter Anwendung der Verschlusselungsfunktion (Enc) entschltis- 
selt wird und eine entschltisselte Konstante (const') sowie 
eventuell weitere Groflen, mit einer Konstante (const) ver- 
glichen wird. 

60. Anordnung nach einem der Anspruche 32 bis 59, 
bei der die erste Computereinheit (U) und die zweite Compu- 
terexnheit (N) derart eingerichtet sind, daB folgende Verfah- 
rensschritte durchfuhrbar sind: 

- in der zweiten Computereinheit (N) wird eine Antwort (A) 
gebildet, indem eine dritte Hash-Funktion (h3) angewendet 
wxrd auf eine Eingangsgrofle, die mindestens den Sitzungs- 
schlussel (K) aufweist, und 

in der ersten Computereinheit (U) wird die Antwort (A) 
uberpriift, indem die dritte Hash-Funktion (h3) angewendet 
wird auf eine EingangsgroBe, die mindestens den Sitzungs- 
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schlussel (K) aufweist, und das Ergebnis mit der Antwort 
(A) verglichen wird. 

61. Anordnung nach einem der Anspruche 32 bis 60, 
bei der die erste Computereinheit (U) und die zweite Compu- 
tereinheit (N) derart eingerichtet sind, dafi folgende Verfah- 
rensschritte durchftihrbar sind: 

die dritte Nachricht (M3) weist mindestens ein optionales 
zweites Datenfeld (dat2) auf. 

62. Anordnung nach einem der Anspruche 32 bis 61, 
bei der die erste Computereinheit (U) und die zweite Compu- 
tereinheit (N) derart eingerichtet sind, dafl folgende Verfah- 
rensschritte durchfiihrbar sind: 

die erste Computereinheit (U) durch ein mobiles Kommunikati- 
onsendgerat und/oder die zweite Computereinheit (N) 
wird/werden durch eine Authentif izierungseinheit in einem Mo- 

bil-Koitununikationsnetz gebildet . 
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Zusammenf as sung 



Verfahren und Anordnung zum rechnergesttitzten Austausch kryp- 
tographischer Schlussel zwischen einer ersten Computereinhei t 
und einer zweiten Computereinhei t 

Die Erfindung betrifft ein Verfahren, mit dem ein Sitzungs- 
schlussel (K) zwischen einer ersten Computereinheit (U) und 
einer zweiten Computereinheit (N) vereinbart werden kann, oh- 
ne dafi ein unbefugter Dritter ntitzliche Information beziiglich 
der Schlussel oder der Identrtat der erste Computereinheit 
(U) erhalten kann. Dies wird erreicht durch die Einbettung 
des Prinzips des El-Gamal Schlusselaustauschs in das Verfah- 
ren mit einer zusatzlichen Bildung einer digitalen Unter- 
schrift Uber einen Hash-Wert, dessen EingangsgroBe mindestens 
Grossen, aus denen auf den Sitzungsschlussel eindeutig riick- 
geschlossen werden kann, aufweist. 



